In Debian 11 wird standardmäßig nftables und firewalld aktiviert.

Arturo Borrero, Debian-Entwickler, der im Coreteam des Netfilter-Projekts mitarbeitet und in Debian Pakete verwaltet, die mit nftables, iptables und netfilter verbunden sind. Alternativen zu den Begriffen „whitelist/blacklist“ und „master/slave“ vor, die für die Verwendung in Spezifikationen bevorzugt werden – anstelle von „master/slave“ wird empfohlen, „primary/secondary“, „leader/follower“, Um den nächsten signifikanten Release von Debian 11 standardmäßig auf die Nutzung von nftables umzustellen. Im Falle der Genehmigung des Vorschlags werden die Pakete von iptables zu optionalen Komponenten, die nicht Teil der Grundausstattung sind, herabgestuft.

Der Paketfilter Nftables zeichnet sich durch die Vereinheitlichung der Schnittstellen zur Paketfilterung für IPv4, IPv6, ARP und Netzwerkbrücken aus. Nftables bietet auf Kernel-Ebene nur eine allgemeine Schnittstelle, die unabhängig vom spezifischen Protokoll ist und grundlegende Funktionen zum Extrahieren von Daten aus Paketen, zur Datenverarbeitung und zum Flussmanagement bereitstellt. Die Logik der Filterung und die spezifischen Protokollverarbeitungen werden in Bytecode im Benutzerspeicher kompiliert und dieser Bytecode wird dann über das Netlink-Interface in den Kernel geladen und in einer speziellen virtuellen Maschine ausgeführt, die der BPF (Berkeley Packet Filters) ähnelt.

Standardmäßig wird in Debian 11 auch der dynamische Firewall-Dienst firewalld angeboten, der als Schicht über nftables fungiert. Firewalld wird als Hintergrundprozess ausgeführt, der es ermöglicht, die Regeln des Paketfilters über DBus dynamisch zu ändern, ohne dass die Regeln des Paketfilters neu geladen und bestehende Verbindungen unterbrochen werden müssen. Um die Firewall zu verwalten, wird das Werkzeug firewall-cmd verwendet, das bei der Erstellung von Regeln nicht von IP-Adressen, Netzwerk-Interfaces und Portnummern, sondern von Dienstnamen ausgeht (zum Beispiel muss man für den Zugriff auf SSH „firewall-cmd —add —service=ssh“ ausführen, um SSH zu schließen, „firewall-cmd —remove —service=ssh“).

Quelle: opennet.ru