Efter og Ubuntu-udviklere for at skifte til standard brug af en pakkefilter .
For at opretholde bagudkompatibilitet foreslås det at bruge pakken , som giver værktøjer med samme kommandosyntaks som i iptables, men som oversætter de modtagne regler til bytekode for nf_tables. Ændringen planlægges inkluderet i den kommende efterårsudgave af Ubuntu 20.10.
Dette er det andet forsøg på at overgå til nftables i Ubuntu. Det første forsøg blev gjort sidste år, men blev afvist på grund af inkompatibiliteter med værktøjet. . Nu har LXD allerede indbygget støtte til nftables, og det kan arbejde med den nye backend til pakkefiltrering. For brugere, der ikke har nok af kompatibilitetslaget, er der mulighed for at installere de klassiske værktøjer iptables, ip6tables, arptables og ebtables med den gamle backend.
Lad os minde om, at i pakkefilteret er grænsefladerne til pakkefiltrering for IPv4, IPv6, ARP og netværksbroer forenet. Pakket nftables indeholder komponenter af pakkefilter, der arbejder i brugerrummet, mens nf_tables subsystemet, som er en del af Linux-kernen siden version 3.13, sørger for arbejdet på kernens niveau. På kernens niveau tilbydes der kun en generel grænseflade, der ikke afhænger af det specifikke protokol og giver grundlæggende funktioner til at udtrække data fra pakker, udføre datamanipulationer og styre strømmen.
Særlige filtreringsregler og protokol-specifikke handler kompileres til bytekode i brugerrummet, hvorefter denne bytekode indlæses i kernen ved hjælp af Netlink-grænsefladen og udføres i kernen i en speciel virtuel maskine, der minder om BPF (Berkeley Packet Filters). Denne tilgang muliggør en betydelig reduktion i størrelsen på den filtreringskode, der kører på kernens niveau, og trækker alle funktioner til parsing af regler og logikken til behandling af protokoller ind i brugerrummet.
Kilde: opennet.ru
