Nftables paketifiltri väljaanne 1.0.7

Avaldatud nftables paketifiltri väljaanne 1.0.7, mis ühtlustab pakettide filtreerimise liidest IPv4, IPv6, ARP ja võrgu sildu (suunatud iptables, ip6tables, arptables ja ebtables asendamisele). Nftables paketis on kasutusrikkas ruumis töötavad paketifiltri komponendid, samas kui tuuma tasemel tagab töö nf_tables süsteem, mis on osa Linuxi tuumast alates väljaandest 3.13. Tuuma tasemel pakutakse vaid üldist liidest, mis ei sõltu konkreetsetest protokollidest ning pakub põhifunktsioone andmete ekstraktsiooniks pakettidest, andmetega toimingute teostamiseks ja voolu haldamiseks.

Filtreerimise reeglid ja protokollile spetsiifilised töötlejad kompileeritakse kasutajaruumi baidikoodiks, seejärel laaditakse see baidikood tuuma Netlink liidese abil ja täidetakse tuumas spetsiaalses virtuaalses masinas, mis meenutab BPF-i (Berkeley Packet Filters). Selline lähenemine võimaldab oluliselt vähendada tuuma tasemel töötava filtreerimiskoodi suurust ja viia kõik reeglite tõlgendamise ja protokollidega töötamise funktsioonid kasutajaruumi.

Peamised muudatused:

• Linuxi tuumaga süsteemidele 6.2+ on lisatud toetus vxlan, geneve, gre ja gretap protokollide matchimiseks, mis võimaldab kasutada lihtsaid väljendeid kapseldatud pakettide pealkirjade kontrollimiseks. Näiteks pealkirja kontrollimiseks IP-aadressid VxLAN kapseldatud paketi pealkirjas saab nüüd rakendada reegleid (ilma vajaduseta eelnevalt deinkapsuleerida VxLAN pealkiri ja siduda filter vxlan0 liidesele): … udp dport 4789 vxlan ip protokoll udp … udp dport 4789 vxlan ip saddr 1.2.3.0/24 … udp dport 4789 vxlan ip saddr . vxlan ip daddr { 1.2.3.4 . 4.3.2.1 }
• Tugimine automatiseeritud üleliikmete ühendamisele pärast osalist elemendi eemaldamist set-loendist on teostatav, mis võimaldab eemaldada elemendi või osa vahemikust olemasolevast vahemikust (varem sai vahemiku eemaldada vaid täielikult). Näiteks pärast elemendi 25 eemaldamist set-loendist vahemikest 24-30 ja 40-50 jääb loendisse 24, 26-30 ja 40-50. Parandused, mis on vajalikud automaatühenduse toimimiseks, pakutakse välja stabiliseeritud tuumaharude 5.10+ parandavates väljaannetes. # nft list ruleset table ip x { set y { typeof tcp dport flags interval auto-merge elements = { 24-30, 40-50 } } } # nft delete element ip x y { 25 } # nft list ruleset table ip x { set y { typeof tcp dport flags interval auto-merge elements = { 24, 26-30, 40-50 } } }
• Lubatud on kasutada kontaktsusi ja vahemikke aadresside tõlkimise (NAT) kaardistamisel. table ip nat { chain prerouting { type nat hook prerouting priority dstnat; policy accept; dnat to ip daddr . tcp dport map { 10.1.1.136 . 80 : 1.1.2.69 . 1024, 10.1.1.10-10.1.1.20 . 8888-8889 : 1.1.2.69 . 2048-2049 } persistent } }
• Lisatud on toetust väljendile „last”, mis võimaldab teada saada reegli või set-loendi viimast kasutamist. See võimalus on toetatud alates Linuxi tuumast 5.14. table ip x { set y { typeof ip daddr . tcp dport size 65535 flags dynamic,timeout last timeout 1h } chain z { type filter hook output priority filter; policy accept; update @y { ip daddr . tcp dport } } } # nft list set ip x y table ip x { set y { typeof ip daddr . tcp dport size 65535 flags dynamic,timeout last timeout 1h elements = { 172.217.17.14 . 443 last used 1s591ms timeout 1h expires 59m58s409ms, 172.67.69.19 . 443 last used 4s636ms timeout 1h expires 59m55s364ms, 142.250.201.72 . 443 last used 4s748ms timeout 1h expires 59m55s252ms, 172.67.70.134 . 443 last used 4s688ms timeout 1h expires 59m55s312ms, 35.241.9.150 . 443 last used 5s204ms timeout 1h expires 59m54s796ms, 138.201.122.174 . 443 last used 4s537ms timeout 1h expires 59m55s463ms, 34.160.144.191 . 443 last used 5s205ms timeout 1h expires 59m54s795ms, 130.211.23.194 . 443 last used 4s436ms timeout 1h expires 59m55s564ms } } }
• Lisatud on võimalus määrata kvote set-loendites. Näiteks, et määrata liikluse kvooti iga siht-IP-aadressi jaoks, saab määrata: table netdev x { set y { typeof ip daddr size 65535 quota over 10000 mbytes } chain y { type filter hook egress device „eth0” priority filter; policy accept; ip daddr @y drop } } # nft add element inet x y { 8.8.8.8 } # ping -c 2 8.8.8.8 # nft list ruleset table netdev x { set y { type ipv4_addr size 65535 quota over 10000 mbytes elements = { 8.8.8.8 quota over 10000 mbytes used 196 bytes } } chain y { type filter hook egress device „eth0” priority filter; policy accept; ip daddr @y drop } }
• Konstantide kasutamine set-loendites on lubatud. Näiteks, kui kasutada sihtadressi ja VLAN-i identifikaatori võtmena, saab otse määrata VLAN-i numbri (daddr . 123): table netdev t { set s { typeof ether saddr . vlan id size 2048 flags dynamic,timeout timeout 1m } chain c { type filter hook ingress device eth0 priority 0; policy accept; ether type != 8021q update @s { ether daddr . 123 } counter } }
• Uus käsk „destroy” on lisatud objektide lõplikuks eemaldamiseks (erinevalt käsust delete, mis ei genera ENOENT, kui proovida eemaldada puuduvat objekti). Tööks on vajalik vähemalt Linuxi tuum 6.3-rc. destroy table ip filter

Allikas: opennet.ru