Arturo Borrero, desarrollador de Debian, miembro del Coreteam del proyecto Netfilter y responsable de los paquetes relacionados con nftables, iptables y netfilter en Debian. traducir la próxima versión significativa de la distribución Debian 11 para utilizar nftables por defecto. Si la propuesta es aprobada, los paquetes de iptables se convertirán en opciones opcionales, no incluidas en la instalación básica.
El filtro de paquetes Nftables es notable por unificar las interfaces de filtrado de paquetes para IPv4, IPv6, ARP y puentes de red. Nftables proporciona en el nivel del núcleo una interfaz general que no depende de ningún protocolo específico y ofrece funciones básicas para la extracción de datos de paquetes, realización de operaciones con datos y gestión del flujo. La lógica de filtrado y los manejadores específicos de protocolo se compilan en bytecode en el espacio de usuario, y este bytecode se carga en el núcleo a través de la interfaz Netlink y se ejecuta en una máquina virtual especial similar a BPF (Berkeley Packet Filters).
Por defecto, Debian 11 también propone utilizar el cortafuegos dinámico firewalld, que actúa como una capa sobre nftables. Firewalld se ejecuta como un proceso en segundo plano, permitiendo modificar dinámicamente las reglas del filtro de paquetes a través de DBus, sin necesidad de reiniciar las reglas del filtro de paquetes y sin interrumpir las conexiones establecidas. Se utiliza la utilidad firewall-cmd para gestionar el cortafuegos, que al crear reglas se basa no en direcciones IP, interfaces de red y números de puertos, sino en los nombres de los servicios (por ejemplo, para abrir el acceso a SSH se debe ejecutar «firewall-cmd —add —service=ssh», y para cerrar SSH — «firewall-cmd —remove —service=ssh»).
Fuente: opennet.ru
