Arturo Borrero, Debian arendaja, kes kuulub Netfilter projekti Coreteam'i ja haldab Debianis pakette, mis on seotud nftables, iptables ja netfilter'iga. Tõlkida järgmine märkimisväärne väljaanne Debian 11 distributiivist, et kasutada nftables'i vaikimisi. Kui ettepanek kinnitatakse, muudetakse iptables'i paketid valikuliseks, need ei kuulu põhitoote hulka.
Nftablesi pakettfilter on tuntud pakettide filtreerimise liideste ühtsuse poolest IPv4, IPv6, ARP ja võrgusildade jaoks. Nftables pakub tuumatasemel üldist liidest, mis ei sõltu konkreetsetest protokollidest ning pakub põhifunktsioone andmete väljatõmbamiseks pakkidest, andmetega töötamiseks ja liikluse juhtimiseks. Filtreerimise loogika ja protokollispetsiifilised töötlejate funktsioonid kompileeritakse kasutaja ruumis bajtkoodiks, seejärel laaditakse see bajtkood Netlinki liidese kaudu tuuma ja käivitatakse spetsiaalses virtuaalmasinas, mis sarnaneb BPF'ile (Berkeley Packet Filters).
Debian 11 pakub vaikimisi kasutada dünaamilist tulemüüri firewalld, mis on vormistatud nftablesi kohal olevana. Firewalld käivitatakse taustprotsessina, mis võimaldab reegleid dünaamiliselt muuta DBusi kaudu, ilma et oleks vaja tulemüüri reegleid taaskäivitada ja katkestada olemasolevaid ühendusi. Tulemüüri haldamiseks kasutatakse tööriista firewall-cmd, mis reeglite loomisel põhineb mitte IP-aadresse, vaid võrguliidestel ja portide numbritel, vaid teenuste nimedel (näiteks SSH-juurdepääsu avamiseks tuleb käivitada „firewall-cmd —add —service=ssh“, SSH sulgemiseks „firewall-cmd —remove —service=ssh“).
Allikas: opennet.ru
