Nftablesi 0.9.4 paketifiltri väljaanne

Avaldatud paketifiltri väljaanne nftables 0.9.4, areneb olema iptables, ip6table, arptables ja ebtables asendaja, pakettide filtreerimise liideste ühtsustamise abil IPv4, IPv6, ARP ja võrgu sillutamiseks. Paketi nftables koosseisus on kasutusruumis töötavad pakettide filtreerimise komponendid, samas kui südamikus tagab töö nf_tables alamsüsteem, mis on Linuxi tuumas alates versioonist 3.13. Nöödamisega nftables 0.9.4 töötamiseks vajalikud muudatused on tulevase tuuma haru koosseisus. Linux 5.6.

Südamiku tasemel pakutakse vaid üldist liidest, mis ei sõltu konkreetsest protokollist ja pakub põhifunktsioone andmete extracatsiooniks pakettidest, andmete opereerimiseks ja voolu juhtimiseks. Otsesed filtreerimise reeglid ja protokollispetsiifilised töötlejajad kompileeritakse kasutusruumis baitkoodiks, seejärel laaditakse see baitkood Netlinki liidese abil tuuma ja täidetakse tuumas spetsiaalses virtuaalmasinas, mis sarnaneb BPF-iga (Berkeley Packet Filters). Selline lähenemine võimaldab oluliselt vähendada südamikus töötava filtreerimise koodi suurust ja viia kõik reeglite analüüsi ja protokollide töötlemise loogika kasutusruumi.

Peamised uuendused:

• Toetatakse vahemike kasutamist ühendustes (concatenation, määratud aadresside ja portide kombinatsioonid, mis lihtsustavad vastavust). Näiteks

  table ip foo {
  seata whitelist {
  tüüp ipv4_addr . ipv4_addr . inet_service
  lipud intervall
  elemendid = { 192.168.10.35-192.168.10.40 . 192.68.11.123-192.168.11.125 . 80 }
  }

  chain bar {
  tüüp filter hook prerouting prioriteet filter; poliitika drop;
  ip saddr . ip daddr . tcp dport @whitelist accept
  }
  }

• Kogudes ja map-loendites on võimalik kasutada direktiivi 'typeof', mis määratleb elemendi vormi vastavuse korral.
  Näiteks:

  table ip foo {
  seata whitelist {
  typeof ip saddr
  elemendid = { 192.168.10.35, 192.168.10.101, 192.168.10.135 }
  }

  chain bar {
  tüüp filter hook prerouting prioriteet filter; poliitika drop;
  ip daddr @whitelist accept
  }
  }

  table ip foo {
  map addr2mark {
  typeof ip saddr : meta mark
  elemendid = { 192.168.10.35 : 0x00000001, 192.168.10.135 : 0x00000002 }
  }
  }

• Lisatud võimalus kasutada NAT-sideühendustes, mis võimaldab määrata aadressi ja porti NAT-muutuste määratlemisel map-loendite või nimetatud kogumite alusel:

  nft add rule ip nat pre dnat ip addr . port to ip saddr map { 1.1.1.1 : 2.2.2.2 . 30 }

  nft add map ip nat destinations { type ipv4_addr . inet_service : ipv4_addr . inet_service \\; }
  nft add rule ip nat pre dnat ip addr . port to ip saddr . tcp dport map @destinations

• Riistvara kiirenduse tugi, mis viib mõned filtrite toimingud võrkaartsele. Kiirendus aktiveeritakse utiliidi ethtool kaudu ("ethtool -K eth0 hw-tc-offload on"), seejärel aktiveeritakse see nftables'i põhiketis flagi "offload" abil. Linuxi tuuma 5.6 korral toimetatakse riistvara kiirenduse tugi pealkirja väljade ja sissetuleva liidese kontrollimise vastetega, koos pakettide vastuvõtmise, kõrvaleheitmise (dup) ja edasi suunamise (fwd) toimingutega. Allpool olevas näites kõrvaldavad reeglid pakette, mis tulevad aadressilt 192.168.30.20, võrkaartsel tasemel, ilma pakettide edastamiseta tuumale:

  # cat file.nft
  table netdev x {
  chain y {
  type filter hook ingress device eth0 priority 10; flags offload;
  ip saddr 192.168.30.20 drop
  }
  }
  # nft -f file.nft

• Parandatud veateadet reeglite viga asukohast.

  # nft delete rule ip y z handle 7
  Error: Reegli töötlemine ebaõnnestus: Sellist faili või katalooge ei leitud
  delete rule ip y z handle 7
  ^

  # nft delete rule ip x x handle 7
  Error: Reegli töötlemine ebaõnnestus: Sellist faili või katalooge ei leitud
  delete rule ip x x handle 7
  ^

  # nft delete table twst
  Error: Sellist faili või katalooge ei leitud; kas mõtlesite tabelit ‘test’ perekonnas ip?
  delete table twst
  ^^^^

  Esimeses näites on näidatud, et tabelit "y" ei ole süsteemis, teises, et käitaja "7" puudub, ja kolmandas, et antakse trükivea vihje tabeli nime sisestamisel.

• Lisatud tugi slave-liidese kontrollimiseks, kasutades "meta sdif" või "meta sdifname":

  … meta sdifname vrf1 …

• Lisatud paremale või vasakule nihkumise toiming. Näiteks, et nihutada olemasolevat pakettide sildi vasakule 1 bitti ja seadistada madalam bitt 1:

  … meta mark set meta mark lshift 1 or 0x1 …

• Rakendatud valik "-V", et kuvada pikendatud teave versiooni kohta.

  # nft -V
  nftables v0.9.4 (Jive at Five)
  cli: readline
  json: yes
  minigmp: no
  libxtables: yes

• Käskude reavahetuse valikud peavad nüüd olema esitatud enne käsklusi. Näiteks tuleb kirjutada "nft -a list ruleset", kuid "nft list ruleset -a" käivitamine toob kaasa vea.

  Allikas: opennet.ru