Välja on antud paketifilter nftables 0.9.1

Pärast aastat arendust esitatud paketifiltri väljaanne nftables 0.9.1, arenes, mis on iptables, ip6table, arptables ja ebtables asendamiseks arenev, unifitseerides paketifiltreerimise liideseid IPv4, IPv6, ARP ja võrgusildade jaoks. nftablesi paketis on kasutusruumi töötavad paketifiltreerimise komponendid, samas kui kernelitasemel teostab töö nf_tablesi subsystem, mis on osa Linuxi kernelist alates versioonist 3.13.

Kernelitasemel pakutakse vaid üldist liidest, mis ei sõltu konkreetsest protokollist ning mis pakub põhifunktsioone andmete väljavõtmiseks paketist, andmetega operatsioonide teostamiseks ja voo juhtimiseks.
Filtreerimise loogika ja protokollispetsiifilised töötlejad kompileeritakse kasutusruumis bytecode'ks, millejärel laaditakse see kernelisse Netlinki liidese abil ja teostatakse spetsiaalses virtuaalses masinas, mis sarnaneb BPF-ile (Berkeley Packet Filters). Selline lähenemine võimaldab märkimisväärselt vähendada kernelitasemel töötava filtreerimiskoodi mahtu ning viia kõik reeglite parsimise ja protokollide töötlemise loogika funktsioonid kasutusruumi.

Põhilised uuendused:

• IPsec-i tugi, mis võimaldab tuuninguaadresside, IPsec-i päringu ID ja SPI (Security Parameter Index) sildi sidumist pakettidega. Näiteks,

  … ipsec in ip saddr 192.168.1.0/24
  … ipsec in spi 1-65536

  Samuti on võimalik kontrollida marsruudi läbitavust IPsec-i tunnelis. Näiteks, et blokeerida liiklus, mis ei toimu IPSec-i kaudu:

  … filter output rt ipsec missing drop

• IGMP (Internet Group Management Protocol) toe võimalus. Näiteks, et kõrvaldada sissetulevad IGMP grupi kuuluvuse päringud, võib kasutada reeglit

  nft add rule netdev foo bar igmp type membership-query counter drop

• Muuttujate kasutamise võimalus üleminekuahelate (jump / goto) määramiseks. Näiteks:

  define dest = ber
  add rule ip foo bar jump $dest

• Toetatakse OS jalajälje (OS Fingerprint) maske TTL väärtuste põhjal pealkirjas. Näiteks, et märgistada pakette saaja operatsioonisüsteemi põhjal, võib kasutada käsku:

  … meta mark set osf ttl skip name map { «Linux» : 0x1,
  «Windows» : 0x2,
  «MacOS» : 0x3,
  «unknown» : 0x0 }
  … osf ttl skip version «Linux:4.20»

• võimalus siduda saatja ARP-aadress sihtsüsteemi IPv4-aadressiga. Näiteks, et suurendada ARP-pakettide arvu, mis saadetakse aadressilt 192.168.2.1, on võimalik kasutada reeglit:

  table arp x {
  chain y {
  filtri tüüpi konks sisendi prioriteet; poliitika aktsepteerida;
  arp saddr ip 192.168.2.1 counter pakette 1 baitide 46
  }
  }

• Toetatakse läbipaistvat päringute edastamist läbi proksi (tproxy). Näiteks, et suunata päringud porte 80 proksi 8080:le:

  table ip x {
  chain y {
  filtri tüüpi konks eelpruunimine prioriteet -150; poliitika aktsepteerida;
  tcp dport 80 tproxy to :8080
  }
  }

• Toetatakse soklite märgistamist, võimalusega hilisema märgise saamiseks läbi setsockopt() SO_MARK režiimis. Näiteks:

  table inet x {
  chain y {
  filtri tüüpi konks eelpruunimine prioriteet -150; poliitika aktsepteerida;
  tcp dport 8080 mark set socket mark
  }
  }

• Toetatakse tekstiliste nimede määramist prioriteetide jaoks ahelates. Näiteks:

  nft add chain ip x raw { type filter hook prerouting priority raw; }
  nft add chain ip x filter { type filter hook prerouting priority filter; }
  nft add chain ip x filter_later { type filter hook prerouting priority filter + 10; }

• Toetatakse SELinuxi (Secmark) silte. Näiteks, et määrata silt «sshtag» SELinuxi konteksti seotusega, saab käivitada:

  nft add secmark inet filter sshtag «system_u:object_r:ssh_server_packet_t:s0»

  Ja seejärel saab seda silti kasutada reeglites:

  nft add rule inet filter input tcp dport 22 meta secmark set «sshtag»

  nft add map inet filter secmapping { type inet_service : secmark; }
  nft add element inet filter secmapping { 22 : «sshtag» }
  nft add rule inet filter input meta secmark set tcp dport map @secmapping

• Võimalus määrata protokollidega seotud porte tekstina, nagu need on määratletud failis /etc/services. Näiteks:

  nft add rule x y tcp dport «ssh»
  nft list ruleset -l
  tabel x {
  chain y {
  …
  tcp dport «ssh»
  }
  }

• Võimalus kontrollida võrguinterfääsi tüüpi. Näiteks:

  add rule inet raw prerouting meta iifkind «vrf» accept

• Parandatud dünaamilise sisu uuendamise toetust komplektides (sets) läbi selge «dynamic» lipu määramise. Näiteks, et uuendada komplekti «s» lisades algusadresse ja lähtestades kirje juhul, kui pakette ei ole 30 sekundi jooksul:

  add table x
  add set x s { type ipv4_addr; size 128; timeout 30s; flags dynamic; }
  add chain x y { type filter hook input priority 0; }
  add rule x y update @s { ip saddr }

• Võimalus määrata eraldi tingimus ajaülevaate määramiseks. Näiteks, et ületada vaikimisi ajaülevaade paketi puhul, mis on saadetud sadamasse 8888, saate määrata:

  table ip filter {
  ct timeout agressive-tcp {
  protocol tcp;
  l3proto ip;
  policy = {established: 100, close_wait: 4, close: 4}
  }
  chain output {
  …
  tcp dport 8888 ct timeout set «agressive-tcp»
  }
  }

• NAT toimetamine inet perekonnale:

  table inet nat {
  …
  ip6 daddr dead::2::1 dnat to dead:2::99
  }

• Parandatud vigade teavitamise vahendid trükivigade tõttu:

  nft add chain filtre test

  Error: No such file or directory; did you mean table «filter» in family ip?
  add chain filtre test
  ^^^^^^

• Võimalus määrata liidese nimesid komplektides (sets):

  set sc {
  type inet_service . ifname
  elements = { «ssh» . «eth0» }
  }

• Uuendatud flowtable reeglite süntaks:

  nft add table x
  nft add flowtable x ft { hook ingress priority 0; devices = { eth0, wlan0 }; }
  …
  nft add rule x forward ip protocol { tcp, udp } flow add @ft

• Parandatud JSON toimetamine.

Allikas: opennet.ru