Ubuntu 20.10-s plaanitakse üleminekut iptables-ilt nftables-ile

Peale selle Fedora ja Debian Ubuntu arendajad kaaluvad haru loomise võimalust. Kavatsus on seotud murega, et projekt on jäänud ilma ülalpidamiseta pärast seda, kui autor, peamine arendaja ja ainus hoidja, vahetada vaikimisi pakettfiltrile nftables.
Tagurpidi ühilduvuse säilitamiseks on soovitatav kasutada paketti iptables-nft, mis pakub utiliite sama käskluste süntaksiga nagu iptables, kuid tõlgib saadud reeglid nf_tables bytecode'iks. Muudatus on plaanis kaasata Ubuntu 20.10 sügisse release'i.

See on teine katse viia Ubuntu nftables'ile. Esimene katse tehti eelmisel aastal, kuid see lükati tagasi tööriistade ühilduvuse tõttu. LXD. Nüüd on LXD-l juba on saadaval sisseehitatud tugi nftables'ile ja see suudab töötada uue pakettfiltrite tagurpidi. Kasutajatele, kes vajavad ühilduvuse tagamiseks kihti, jätkub on võimalik installida klassikalisi utiliite iptables, ip6tables, arptables ja ebtables vana tagurpidi kasutamisel.

Küsimus on, et pakettfiltris nftables on ühtlustatud pakettfiltrite liidesed IPv4, IPv6, ARP ja võrgu sildade jaoks. Pakett nftables sisaldab kasutaja ruumis töötavaid pakettfiltri komponente, samas kui tuuma tasemel hoolitseb nf_tables alamsüsteem, mis on osa Linuxi kernelist alates versioonist 3.13. Tuuma tasemel pakutakse vaid üldist liidest, mis ei sõltu konkreetsest protokollist ja annab põhiandme välja võtmise ja andmetega manipuleerimise funktsioonid.

Filtreerimise reeglid ja protokollipõhised töötlejad kompileeritakse ruumi- kasutaja tasemel bytecode'iks, misjärel see bytecode laaditakse tuumale Netlink-liidese abil ja töötatakse tuumas spetsiaalses virtuaalmasinas, mis sarnaneb BPF-iga (Berkeley Packet Filters). See lähenemine võimaldab oluliselt vähendada tuuma tasemel filtreerimiskoodi suurust ning viia kõik reeglite analüüsi ja protokollide töötlemise loogika kasutajaruumisse.

Allikas: opennet.ru