Vabastatud pakettfilter nftables 0.9.1

Pärast aasta arendust esitati paketifiltri väljaanne nftables 0.9.1, arendades iptables, ip6tables, arptables ja ebtables asemele, unifitseerides paketifiltrimise liideseid IPv4, IPv6, ARP ja võrgusildade jaoks. Ntfables'i pakett sisaldab kasutaja ruumis töötavaid paketifiltri komponente, samas kui tuuma tasandil tagab töö nf_tables alamvõrk, mis on tüüp kerneli Linux alates versioonist 3.13.

Tuuma tasandil pakutakse vaid üldist liidest, mis ei sõltu konkreetsest protokollist ja mis pakub põhifunktsioone andmete ekstraheerimiseks pakettidest, andmete töötlemiseks ja voolu juhtimiseks.
Filtrimise loogika ja protokollile spetsiifilised töötlejad kompileeritakse kasutaja ruumis byte-koodeksisse, mille järel see byte-koodeks laaditakse tuumas Netlink liidese kaudu ja täidetakse spetsiaalses virtuaalses masinas, mis meenutab BPF-d (Berkeley Packet Filters). Selline lähenemine võimaldab oluliselt vähendada tuuma tasandil töötava filtrikoodi suurust ja viia kõik reeglite tõlgendamise ja protokollide töötlemise loogika kasutaja ruumi.

Peamised uuendused:

• IPsec'i tugi, mis võimaldab teostada tunnelite aadresside vastendamist paketi, IPsec'i päringu identifikaatori ja SPI (Security Parameter Index) sildiga. Näiteks,

  … ipsec in ip saddr 192.168.1.0/24
  … ipsec in spi 1-65536

  Samuti on võimalik kontrollida marsruudi läbimist läbi IPsec'i tunnelite. Näiteks, et blokeerida liiklus mitte-IPSec'i kaudu:

  … filter output rt ipsec missing drop

• IGMP (Internet Group Management Protocol) protokolli toimetamine. Näiteks, et kõrvaldada sissetulevad IGMP grupi kuuluvuse päringud, võib kasutada reeglit

  nft add rule netdev foo bar igmp type membership-query counter drop

• Muuttujate kasutamise võimalus üleminekuahela määratlemiseks (jump / goto). Näiteks:

  define dest = ber
  add rule ip foo bar jump $dest

• OS-i määratlemiseks mõeldud maskide toimetamine (OS Fingerprint) põhinedes TTL väärtustele päises. Näiteks, et tähistada pakette vastavalt saatja opsüsteemile, võib kasutada käsku:

  … meta mark set osf ttl skip name map { "Linux" : 0x1,
  "Windows" : 0x2,
  "MacOS" : 0x3,
  "unknown" : 0x0 }
  … osf ttl skip version "Linux:4.20"

• Võimalus seostada saatja ARP-aadress sihtsüsteemi IPv4-aadressiga. Näiteks, et suurendada 192.168.2.1 aadressilt saadetud ARP-pakettide loendurit, võib kasutada reeglit:

  table arp x {
  chain y {
  type filter hook input priority filter; policy accept;
  arp saddr ip 192.168.2.1 counter packets 1 bytes 46
  }
  }

• Toetab proxy kaudu päringute läbilaskmise toele (tproxy). Näiteks, et suunata päringud 80 pordilt proxy pordile 8080:

  table ip x {
  chain y {
  type filter hook prerouting priority -150; policy accept;
  tcp dport 80 tproxy to :8080
  }
  }

• Toetab sokettide märgistamist, võimaldades hilisemalt saata määratud märgi läbi setsockopt() SO_MARK režiimis. Näiteks:

  table inet x {
  chain y {
  type filter hook prerouting priority -150; policy accept;
  tcp dport 8080 mark set socket mark
  }
  }

• Toetab tekstiliste prioriteetide nimede määramist ahelate jaoks. Näiteks:

  nft add chain ip x raw { type filter hook prerouting priority raw; }
  nft add chain ip x filter { type filter hook prerouting priority filter; }
  nft add chain ip x filter_later { type filter hook prerouting priority filter + 10; }

• Toetab SELinux (Secmark) märke. Näiteks, et määrata 'sshtag' kontekstiga SELinux seotuks, saate kasutada:

  nft add secmark inet filter sshtag «system_u:object_r:ssh_server_packet_t:s0»

  Ja seejärel kasutada seda märki reeglites:

  nft add rule inet filter input tcp dport 22 meta secmark set «sshtag»

  nft add map inet filter secmapping { type inet_service : secmark; }
  nft add element inet filter secmapping { 22 : «sshtag» }
  nft add rule inet filter input meta secmark set tcp dport map @secmapping

• Võimalus määrata protokollidega seotud pordid tekstivormingus, nagu need on määratud failis /etc/services. Näiteks:

  nft add rule x y tcp dport «ssh»
  nft list ruleset -l
  table x {
  chain y {
  …
  tcp dport «ssh»
  }
  }

• Võimalus kontrollida võrgu liidese tüüpi. Näiteks:

  add rule inet raw prerouting meta iifkind «vrf» accept

• Parendatud toetamine dünaamiliseks komplektide (sets) sisu värskendamiseks, määrates selgelt 'dynamic' lipu. Näiteks, et värskendada komplekti 's', lisades algse aadressi ja kustutades kirje, kui pakette ei ole 30 sekundi jooksul:

  add table x
  add set x s { type ipv4_addr; size 128; timeout 30s; flags dynamic; }
  add chain x y { type filter hook input priority 0; }
  add rule x y update @s { ip saddr }

• Võimalus seada eraldi tingimus aja möödumise korral. Näiteks, et üle kirjutada vaikimisi aegumisaeg 8888 pordil saab määrata:

  table ip filter {
  ct timeout agressive-tcp {
  protocol tcp;
  l3proto ip;
  policy = {established: 100, close_wait: 4, close: 4}
  }
  chain output {
  …
  tcp dport 8888 ct timeout set «agressive-tcp»
  }
  }

• Toetab NAT-d inet perekonna jaoks:

  table inet nat {
  …
  ip6 daddr dead::2::1 dnat to dead:2::99
  }

• Parendatud vigade teavitamise tööriistad näpuvigade tõttu:

  nft add chain filtre test

  Error: No such file or directory; did you mean table «filter» in family ip?
  add chain filtre test
  ^^^^^^

• Võimalus määrata liideste nimesid komplektides (sets):

  set sc {
  type inet_service . ifname
  elements = { «ssh» . «eth0» }
  }

• Uuendatud flowtable reeglite süntaks:

  nft add table x
  nft add flowtable x ft { hook ingress priority 0; devices = { eth0, wlan0 }; }
  …
  nft add rule x forward ip protocol { tcp, udp } flow add @ft

• Parendatud JSON-i tugi.

Allikas: opennet.ru