Paketifiltri nftables 1.0.0 väljaanne

Avaldatud on nftables 1.0.0 paketifiltri väljaanne, mis ühtlustab paketifiltreerimise liideseid IPv4, IPv6, ARP ja võrgu sillutamiseks (sihtides iptables'i, ip6table'i, arptables'i ja ebtables'i asendamist). Nftables 1.0.0 väljalaske tööks vajalikud muudatused on lisatud Linuxi 5.13 tuuma. Oluline versiooninumber ei ole seotud oluliste muudatustega, vaid kajastab lihtsalt kümnendsüsteemi järjestikust numbreid (eelmine väljaanne oli 0.9.9).

Nftables'i paketti kuuluvad kasutajaruumi töötavad pakettfilteri komponendid, samas kui tuuma tasemel tagab töö nf_tables süsteem, mis on osa Linuxi tuumast alates versioonist 3.13. Tuuma tasemel pakutakse vaid üldist liidest, mis ei sõltu konkreetsest protokollist ja pakub põhifunktsioone andmete väljavõtmiseks pakettidest, andmetega töötamiseks ja voogude haldamiseks.

Filtreerimise reeglid ja protokollile spetsiifilised töötlejad kompileeritakse kasutajaruumi baidikoodiks, seejärel laaditakse see baidikood tuuma Netlink liidese abil ja täidetakse tuumas spetsiaalses virtuaalses masinas, mis meenutab BPF-i (Berkeley Packet Filters). Selline lähenemine võimaldab oluliselt vähendada tuuma tasemel töötava filtreerimiskoodi suurust ja viia kõik reeglite tõlgendamise ja protokollidega töötamise funktsioonid kasutajaruumi.

Peamised uuendused:

• Set-loenditesse on lisatud toetus maskielemendile "*", mis sobib kõigi pakettide jaoks, mis ei vasta teistele loendis määratletud elementidele. table x { map blocklist { type ipv4_addr : verdict flags interval elements = { 192.168.0.0/16 : accept, 10.0.0.0/8 : accept, * : drop } } chain y { type filter hook prerouting priority 0; policy accept; ip saddr vmap @blocklist } }
• Käsurealt muutujate määramise võimalus on saadud valiku „—define“ kaudu. # cat test.nft table netdev x { chain y { type filter hook ingress devices = $dev priority 0; policy drop; } } # nft —define dev=»{ eth0, eth1 }» -f test.nft
• Map-loendites on lubatud kasutada püsivaid (stateful) väljendeid: table inet filter { map portmap { type inet_service : verdict counter elements = { 22 counter packets 0 bytes 0 : jump ssh_input, * counter packets 0 bytes 0 : drop } } chain ssh_input { } chain wan_input { tcp dport vmap @portmap } chain prerouting { type filter hook prerouting priority raw; policy accept; iif vmap { «lo» : jump wan_input } } }
• Lisatud on käsk „list hooks“, mis väljastab määratud pakettide perekonna töötlejate loendi: # nft list hooks ip device eth0 family ip { hook ingress { +0000000010 chain netdev x y [nf_tables] +0000000300 chain inet m w [nf_tables] } hook input { -0000000100 chain ip a b [nf_tables] +0000000300 chain inet m z [nf_tables] } hook forward { -0000000225 selinux_ipv4_forward 0000000000 chain ip a c [nf_tables] } hook output { -0000000225 selinux_ipv4_output } hook postrouting { +0000000225 selinux_ipv4_postroute } }
• Blokkides „queue“ on lubatud kombinatsioonide kasutamine väljenditest jhash, symhash ja numgen pakettide jaotamiseks järjekordades kasutajalas. … queue to symhash mod 65536 … queue flags bypass to numgen inc mod 65536 … queue to jhash oif . meta mark mod 32 „queue“ saab ka kombineerida map-loenditega, et valida järjekord kasutajalas, tuginedes meelevaldsetele võtmetele. … queue flags bypass to oifname map { „eth0“ : 0, „ppp0“ : 2, „eth1“ : 2 }
• On antud võimalus kahemõtteliste muutuja väärtuste, sealhulgas set-loendi sisu avamiseks mitmesse mappi. define interfaces = { eth0, eth1 } table ip x { chain y { type filter hook input priority 0; policy accept; iifname vmap { lo : accept, $interfaces : drop } } } # nft -f x.nft # nft list ruleset table ip x { chain y { type filter hook input priority 0; policy accept; iifname vmap { „lo“ : accept, „eth0“ : drop, „eth1“ : drop } } }
• Kombinatsioon vmap-idest (verdict map) koos intervallidega on lubatud: # nft add rule x y tcp dport . ip saddr vmap { 1025-65535 . 192.168.10.2 : accept }
• NAT-i soovitused on lihtsustatud. Lubatud on aadresside vahemike määramine: … snat to ip saddr map { 10.141.11.4 : 192.168.2.2-192.168.2.4 } või selged IP-aadresse ja sadamad: … dnat to ip saddr map { 10.141.11.4 : 192.168.2.3 . 80 } või IP ja sadamate vahemike kombinatsioonid: … dnat to ip saddr . tcp dport map { 192.168.1.2 . 80 : 10.141.10.2-10.141.10.5 . 8888-8999 }

Allikas: opennet.ru