Arturo Borrero, Debian arendaja, kuulub Netfilter projekti Coreteam'i ja toetab Debianis pakette, mis on seotud nftables, iptables ja netfilter'iga. kanda järgmine oluline Debian 11 väljaanne üle nftables'i vaikimisi kasutamisele. Kui ettepanek kinnitatakse, liiguvad iptables paketid valikuliseks, mis ei kuulu põhitarne hulka.
Pakettfiltri Nftables'ile on iseloomulik pakettfiltreerimise liideste ühtsus IPv4, IPv6, ARP ja võrgusildade jaoks. Nftables pakub tuumatasandil ainult ühtset liidest, mis ei ole seotud spetsiifilise protokolliga ning mis pakkub põhifunktsioone andmete väljavõtmiseks pakettidest, andmete manipulatsiooniks ja voogude juhtimiseks. Filtreerimise loogika ja protokollispetsiifilised töötlejate kompileeritakse kasutaja ruumis olevasse baitkoodi, misjärel see baitkood laaditakse Netlinki liidese abil tuuma ja täidetakse spetsiaalses virtuaalmasinas, mis meenutab BPF (Berkeley Packet Filters).
Vaikimisi pakutakse Debian 11's kasutada ka dünaamilist tulemüürifaili firewalld, mis on vormistatud nftables'i peale. Firewalld käivitub taustaprotsessina, mis võimaldab dünaamiliselt muuta pakettfiltri reegleid DBus'i kaudu, ilma et oleks vaja tulemüüri reeglite taaslaadimist ja katkestatud seoseid. Tulemüüri haldamiseks kasutatakse utiliiti firewall-cmd, mis määrab reeglite loomise aluseks mitte IP-aadresse, vaid teenuste nimed (näiteks, et avada SSH juurdepääs, tuleb käivitada „firewall-cmd —add —service=ssh“, et sulgeda SSH — „firewall-cmd —remove —service=ssh“).
Allikas: opennet.ru
