Folgendes und Entwickler von Ubuntu Übergang zur standardmäßigen Verwendung des Paketfilters .
Um die Rückwärtskompatibilität zu gewährleisten, wird empfohlen, das Paket , das Tools mit der gleichen Befehlszeilen-Syntax wie bei iptables bereitstellt, aber die erhaltenen Regeln in Bytecode für nf_tables übersetzt. Diese Änderung ist für die Herbstversion von Ubuntu 20.10 geplant.
Dies ist der zweite Versuch, Ubuntu auf nftables umzustellen. Der erste Versuch wurde im letzten Jahr unternommen, wurde jedoch aufgrund von Inkompatibilitäten mit den Tools . Jetzt gibt es in LXD bereits eingebaute Unterstützung für nftables und es kann mit dem neuen Backend für die Paketfilterung arbeiten. Für Benutzer, denen die Kompatibilitätsschicht nicht ausreicht, die Möglichkeit, die klassischen Tools iptables, ip6tables, arptables und ebtables mit dem alten Backend zu installieren.
Wir erinnern daran, dass im Paketfilter die Schnittstellen zur Paketfilterung für IPv4, IPv6, ARP und Netzwerkbrücken vereinheitlicht sind. Das Paket nftables umfasst Komponenten des Paketfilters, die im Benutzerspeicher arbeiten, während auf Kernel-Ebene das nf_tables-Subsystem, das seit Version 3.13 Teil des Linux-Kernels ist, die Arbeit gewährleistet. Auf Kernel-Ebene wird nur eine allgemeine Schnittstelle bereitgestellt, die nicht von einem bestimmten Protokoll abhängt und grundlegende Funktionen zum Extrahieren von Daten aus Paketen, Ausführen von Datenoperationen und Verwalten von Datenströmen bereitstellt.
Die Regeln zur Filterung und protokollspezifischen Handler werden im Benutzerspeicher in Bytecode kompiliert, der dann mithilfe der Netlink-Schnittstelle in den Kernel geladen und dort in einer speziellen virtuellen Maschine, ähnlich wie BPF (Berkeley Packet Filters), ausgeführt wird. Dieser Ansatz ermöglicht eine signifikante Reduzierung der Filtercodegröße, die auf Kernel-Ebene ausgeführt wird, und verlagert alle Funktionen zur Regelverarbeitung und Protokollverarbeitung in den Benutzerspeicher.
Quelle: opennet.ru
