Nftables paketifiltri väljaanne 1.0.1

On välja antud nftables paketifiltri väljaanne 1.0.1, mis ühtlustab pakettide filtreerimise liideseid IPv4, IPv6, ARP ja võrgu sildade jaoks (eesmärk on asendada iptables, ip6tables, arptables ja ebtables). Nftables 1.0.1 toimimiseks vajalikud muudatused on kaasatud Linuxi tuumikusse 5.16-rc1.

Nftables'i paketti kuuluvad kasutajaruumi töötavad pakettfilteri komponendid, samas kui tuuma tasemel tagab töö nf_tables süsteem, mis on osa Linuxi tuumast alates versioonist 3.13. Tuuma tasemel pakutakse vaid üldist liidest, mis ei sõltu konkreetsest protokollist ja pakub põhifunktsioone andmete väljavõtmiseks pakettidest, andmetega töötamiseks ja voogude haldamiseks.

Filtreerimise reeglid ja protokollile spetsiifilised töötlejad kompileeritakse kasutajaruumi baidikoodiks, seejärel laaditakse see baidikood tuuma Netlink liidese abil ja täidetakse tuumas spetsiaalses virtuaalses masinas, mis meenutab BPF-i (Berkeley Packet Filters). Selline lähenemine võimaldab oluliselt vähendada tuuma tasemel töötava filtreerimiskoodi suurust ja viia kõik reeglite tõlgendamise ja protokollidega töötamise funktsioonid kasutajaruumi.

Peamised uuendused:

• Suurenenud mälu kokkuhoid suurte set- ja map-loendite laadimisel.
• Set- ja map-loendite taaskäivitamine on kiirem.
• Eelistatud tabelite ja ahelate väljund suurte reeglistike puhul on kiirem. Näiteks käsu „nft list ruleset” täitmise aeg reeglistiku väljundamiseks, mis sisaldab 100 tuhat rida, on 3,049 sekundit, samas kui ainult nat ja filter tabelite väljund („nft list table nat”, „nft list table filter”) on vastavalt 1,969 ja 0,697 sekundit.
• Queryde täitmine opsiooniga „—terse” suurte set- ja map-loendite töötlemisel on kiirem.
• On antud võimalus filtreerida liiklust „egress” ahelast, mis töödeldakse samal tasemel, nagu egress- töötleja netdev ahelas (egress konks), st hetkel, mil draiver saab paketi kernel arhiivist. table netdev filter { chain egress { type filter hook egress devices = { eth0, eth1 } priority 0; meta priority set ip saddr map { 192.168.10.2 : abcd:2, 192.168.10.3 : abcd:3 } } }
• On lubatud kaardistada ja muuta paketi pealkirja ja sisu baidid määratud nihkega. # nft add rule x y @ih,32,32 0x14000000 counter # nft add rule x y @ih,32,32 set 0x14000000 counter

Allikas: opennet.ru