Pakettfiltri nftables väljaanne 0.9.3

Avaldatud paketifiltri väljalaskmine nftables 0.9.3, mis areneb vahetus iptables, ip6tables, arptables ja ebtables kaudu, ühtlustades IPv4, IPv6, ARP ja võrgu sildade pakettide filtreerimise liideseid. nftables pakett sisaldab kasutusruumi paketifiltri komponente, samas kui tuuma tasemel täidab tööd nf_tables alamsüsteem, mis on Linuxi tuumas alates versioonist 3.13. Nõutud muudatused nftables 0.9.3 tööks on kaasatud tulevasse Linuxi tuuma harusse 5.5.

Tuuma tasandil pakutakse vaid üldist liidest, mis ei ole sõltuv konkreetsetest protokollidest ning mis pakub baasfunktsioone andmete paketist väljavõtmiseks, andmetega töötamiseks ja voogude haldamiseks. Filtrimise loogika ja protokollispetsiifilised töötlejad kompileeritakse byte-koodiks kasutaja ruumis, seejärel laaditakse see byte-kood tuumasse Netlinki liidese abil ja seda täidetakse spetsiaalses virtuaalses masinas, mis meenutab BPF-i (Berkeley Packet Filters). Selline lähenemine võimaldab märkimisväärselt vähendada tuumal töötava filtreerimiskoodi suurust ning viia kõik reeglite analüüsi ja protokollidega töötamise funktsioonid kasutaja ruumi.

Põhilised uuendused:

• Pakettide ajaga sidumise tugi. Saate määratleda ajavahemikud ja kuupäevad, millal reegel kehtib, ning seadistada ka kehtivuse nädalapäevade osas. Uus valik "-T" on samuti lisatud, et väljastada ajatempe sekundites.

  meta time \»2019-12-24 16:00\» — \»2020-01-02 7:00\»
  meta hour \»17:00\» — \»19:00\»
  meta day \»Fri\»

• SELinuxi (secmark) märkide taastamise ja salvestamise tugi.

  ct secmark set meta secmark
  meta secmark set ct secmark

• Map-listide (synproxy) tugi, mis võimaldavad määrata rohkem kui ühe reegli tagapinnale.

  table ip foo {
  synproxy https-synproxy {
  mss 1460
  wscale 7
  timestamp sack-perm
  }

  synproxy other-synproxy {
  mss 1460
  wscale 5
  }

  chain pre {
  type filter hook prerouting priority raw; policy accept;
  tcp dport 8888 tcp flags syn notrack
  }

  chain bar {
  type filter hook forward priority filter; policy accept;
  ct state invalid, untracked synproxy name ip saddr map { 192.168.1.0/24 : «https-synproxy», 192.168.2.0/24 : «other-synproxy» }
  }
  }

• Dünaamiline elementide eemaldamise võimalus set-kogumitest pakettide töötlemise reeglitest.

  nft add rule … delete @set5 { ip6 saddr . ip6 daddr }

• VLAN-i määramine vastavalt identifikaatorile ja protokollile, mis on määratletud võrgu silla liidese metaandmetes;

  meta ibrpvid 100
  meta ibrvproto vlan

• Valik „-t“ („—terse“) set-kogumite elementide välistamiseks reeglite kuvamisel. Käivitamisel „nft -t list ruleset“ kuvatakse:

  table ip x {
  set y {
  type ipv4_addr
  }
  }

  Ja kui kasutada „nft list ruleset“

  table ip x {
  set y {
  type ipv4_addr
  elements = { 192.168.10.2, 192.168.20.1,
  192.168.4.4, 192.168.2.34 }
  }
  }

• Võimalus määrata rohkem kui üks seade netdev-ahelates (töötab ainult tuuma 5.5-ga) tüüppakettide filtreerimise reeglite ühendamiseks.

  add table netdev x
  add chain netdev x y { \
  type filter hook ingress devices = { eth0, eth1 } priority 0;
  }

• Võimalus lisada andmetüüpide kirjeldusi.

  # nft describe ipv4_addr
  datatype ipv4_addr (IPv4 address) (basetype integer), 32 bits

• Võimalus ehitada CLI-liides linenoise teegi abil libreadline'i asemel.

  ./configure —with-cli=linenoise

Allikas: opennet.ru