Arturo Borrero, Debian-Entwickler und Mitglied des Coreteams des Netfilter-Projekts, der die für nftables, iptables und netfilter zuständigen Pakete in Debian betreut. Ziel ist es, die nächste bedeutende Veröffentlichung von Debian 11 standardmäßig auf nftables umzustellen. Bei Genehmigung der Vorschläge werden die Pakete mit iptables zu optionalen Komponenten, die nicht im Basisangebot enthalten sind.
Der Paketfilter nftables zeichnet sich durch die Vereinheitlichung der Filter-Interfaces für IPv4, IPv6, ARP und Netzwerkbrücken aus. nftables bietet auf Kernel-Ebene eine allgemeine Schnittstelle, die unabhängig vom spezifischen Protokoll ist und grundlegende Funktionen zum Extrahieren von Daten aus Paketen, zur Durchführung von Datenoperationen und zur Steuerung des Datenflusses bereitstellt. Die Logik der Filterung und die Protokollspezifischen Handler werden in Bytecode im Benutzerspeicher kompiliert und dann über die Netlink-Schnittstelle in den Kernel geladen, wo sie in einer speziellen virtuellen Maschine ausgeführt werden, die an BPF (Berkeley Packet Filters) erinnert.
Standardmäßig wird in Debian 11 auch der dynamische Firewall firewalld angeboten, der als Schnittstelle über nftables fungiert. Firewalld läuft als Hintergrundprozess, der es ermöglicht, die Regeln der Paketfilterung über DBus dynamisch zu ändern, ohne die Regeln neu laden und ohne bestehende Verbindungen trennen zu müssen. Zur Verwaltung der Firewall wird das Tool firewall-cmd verwendet, das bei der Erstellung von Regeln nicht von IP-Adressen, Netzwerk-Schnittstellen und Portnummern, sondern von Dienstnamen ausgeht (zum Beispiel muss der Befehl „firewall-cmd —add —service=ssh“ ausgeführt werden, um den Zugriff auf SSH zu ermöglichen, und „firewall-cmd —remove —service=ssh“, um SSH zu schließen).
Quelle: opennet.ru
