Pakettide filtreerija nftables 1.1.6 väljalase

Avaldati pakettfiltri nftables 1.1.6 väljaanne, mis ühtlustab pakettide filtreerimise liideseid IPv4, IPv6, ARP ja võrgu sillade jaoks (sihtides asendada iptables, ip6tables, arptables ja ebtables). Samuti avaldati kaasneva teegi libnftnl 1.3.1 väljaanne, mis pakub madala taseme API-d nf_tables süsteemiga suhtlemiseks.

Nftables'i paketti kuuluvad kasutajaruumi töötavad pakettfilteri komponendid, samas kui tuuma tasemel tagab töö nf_tables süsteem, mis on osa Linuxi tuumast alates versioonist 3.13. Tuuma tasemel pakutakse vaid üldist liidest, mis ei sõltu konkreetsest protokollist ja pakub põhifunktsioone andmete väljavõtmiseks pakettidest, andmetega töötamiseks ja voogude haldamiseks.

Filtreerimise reeglid ja protokollile spetsiifilised töötlejad kompileeritakse kasutajaruumi baidikoodiks, seejärel laaditakse see baidikood tuuma Netlink liidese abil ja täidetakse tuumas spetsiaalses virtuaalses masinas, mis meenutab BPF-i (Berkeley Packet Filters). Selline lähenemine võimaldab oluliselt vähendada tuuma tasemel töötava filtreerimiskoodi suurust ja viia kõik reeglite tõlgendamise ja protokollidega töötamise funktsioonid kasutajaruumi.

Peamised muudatused:

• Täielik tugi kergete tunnelite mallidele, nagu vxlan, geneve ja erspan: table netdev global { tunnel t1 { id 10 ip saddr 192.168.2.10 ip daddr 192.168.2.11 sport 1025 dport 20020 ttl 1 erspan { version 1 index 2 } } tunnel t2 { id 10 ip saddr 192.168.3.10 ip daddr 192.168.3.11 sport 1025 dport 21021 ttl 1 erspan { version 1 index 2 } } chain in { type filter hook ingress device veth0 priority 0; tunnel name ip saddr map { 10.141.10.12 : "t1", 10.141.10.13 : "t2" } fwd to erspan1 } } Enne reeglite laadimist tuleb luua võrguliides erspan1: ip link add dev erspan1 type erspan external
• Lisatud tugi maskide jaoks võrgu liideste nimedes netdevi töötlemisse, näiteks sisenemisse suunatud liiklusfiltri põhiehestruktuuri lisamiseks kõigi vlan seadmete jaoks saab näidata: table netdev t { chain c { type filter hook ingress devices = { "vlan*", "veth0" } priority filter; policy accept; } }
• Linuxi kerneliga süsteemides 6.18+ on rakendatud L2-raamide edastusvõime toetamine võrgu sillade liideste jaoks kohalikuks töötlemiseks, näiteks kõikide Ethernet-raamide suunamiseks IP-stäkki MAC-aadressile de:ad:00:00:be:ef võib näidata: table bridge global { chain pre { type filter hook prerouting priority 0; policy accept; ether daddr de:ad:00:00:be:ef meta pkttype set host ether daddr set meta ibrhwaddr accept } }
• Lisatud uus infrastruktuur fuzz-testimiseks, kasutades tööriistakomplekti afl++ (american fuzzy lop++), aktiveeritakse ehitusprotsessi käigus läbi "./configure --with-fuzzer".

Allikas: opennet.ru