Väljaanne pakettifiltri nftables 0.9.9

Avaldatud pakettifiltri nftables 0.9.9, mis ühtlustab pakettide filtreerimise liideseid IPv4, IPv6, ARP ja võrgu sillade jaoks (suunatud iptables, ip6tables, arptables ja ebtables asendamisele). Samuti on avaldatud seotud teegi libnftnl 1.2.0, mis pakub madala taseme API-d nf_tables alamsüsteemiga suhtlemiseks. vajalikud muudatused nftables 0.9.9 versiooni tööks on sisse ehitatud Linuxi tuuma 5.13-rc1.

Nftables'i paketti kuuluvad kasutajaruumi töötavad pakettfilteri komponendid, samas kui tuuma tasemel tagab töö nf_tables süsteem, mis on osa Linuxi tuumast alates versioonist 3.13. Tuuma tasemel pakutakse vaid üldist liidest, mis ei sõltu konkreetsest protokollist ja pakub põhifunktsioone andmete väljavõtmiseks pakettidest, andmetega töötamiseks ja voogude haldamiseks.

Filtreerimise reeglid ja protokollile spetsiifilised töötlejad kompileeritakse kasutajaruumi baidikoodiks, seejärel laaditakse see baidikood tuuma Netlink liidese abil ja täidetakse tuumas spetsiaalses virtuaalses masinas, mis meenutab BPF-i (Berkeley Packet Filters). Selline lähenemine võimaldab oluliselt vähendada tuuma tasemel töötava filtreerimiskoodi suurust ja viia kõik reeglite tõlgendamise ja protokollidega töötamise funktsioonid kasutajaruumi.

Peamised uuendused:

• Rakendatud on võimalus viia flowtable töötlemine võrguadapteri poole, mida saab aktiveerida ‘offload’ lippu kasutades. Flowtable on pakettide suunamise optimeerimise mehhanism, kus kõiki reegli töötlemise ahela etappe rakendatakse täielikult ainult esimese paketi puhul, samas kui kõik teised voos olevad paketid suunatakse otse. table ip global { flowtable f { hook ingress priority filter + 1 devices = { lan3, lan0, wan } flags offload } chain forward { type filter hook forward priority filter; policy accept; ip protocol { tcp, udp } flow add @f } chain post { type nat hook postrouting priority filter; policy accept; oifname «wan» masquerade } }
• Lisatud on lipu toetamine tabelite külge kinnitamiseks, mis võimaldab tagada tabeli eksklusiivset kasutamist protsessi poolt. Protsessi lõpetamisel eemaldatakse sellele seotud tabel automaatselt. Teave protsessi kohta kuvatakse reeglite dump'is kommentaarina: table ip x { # progname nft flags owner chain y { type filter hook input priority filter; policy accept; counter packets 1 bytes 309 } }
• Lisatud on toetamine IEEE 802.1ad (VLAN stacking või QinQ) spetsifikatsioonile, mis määratleb vahendid mitme VLAN-sildi asendamiseks ühes Etherneti raamid. Näiteks, et kontrollida välise Etherneti raami 8021ad tüüpi ja vlan id=342, saab kasutada konstruktsiooni … ether type 802.1ad vlan id 342 välise Etherneti raami 8021ad/vlan id=1, sissepoole asetatud 802.1q/vlan id=2 ja IP-paketi edasise kapseldamise kontrollimiseks: … ether type 802.1ad vlan id 1 vlan type 8021q vlan id 2 vlan type ip counter
• Lisatud toimetamisressursside haldamise tugi ühtse cgroupsi v2 hierarhia abil. Peamine erinevus cgroup v2-l võrreldes v1-ga on koondatud cgroupsi hierarhia rakendamine kõigi ressursitüüpide jaoks, selle asemel, et eraldi hierarhiad CPU ressursside ja mälu tarbimise reguleerimiseks ning sisend-/väljundresursside haldamiseks. Näiteks, et kontrollida, kas sokli esiisa esimesel tasemel cgroupv2 vastab maskile «system.slice», saab kasutada konstruktsiooni: … sokkel cgroupv2 tase 1 «system.slice»
• Lisatud võimalus kontrollida SCTP pakettide koostisosade olemasolu (vajalik funktsionaalsus on saadaval Linuxi tuumas 5.14). Näiteks, et kontrollida, kas chunk-is, mille tüüp on 'data', on väli 'type': … sctp chunk data exists … sctp chunk data type 0
• Reeglite laadimisoperatsioonide täitmist kiirendati umbes kaks korda flagi «-f» abil. Samuti kiiratati reeglite loendi väljundit.
• Pakutakse kompaktne vorm bitide seadistuse kontrollimiseks lippudes. Näiteks, et kontrollida, kas snat ja dnat olekud ei ole seadistatud, saab märkida: … ct status ! snat,dnat, ning et kontrollida, kas bit syn on seadistatud bitmaskis syn,ack: … tcp flags syn / syn,ack, et kontrollida, kas bitid fin ja rst ei ole seadistatud bitmaskis syn,ack,fin,rst: … tcp flags != fin,rst / syn,ack,fin,rst
• Lubatud on kasutada võtmesõna «verdict» typeof määratlemisel set/map: add map x m { typeof iifname . ip protocol . th dport : verdict; }

Allikas: opennet.ru