Nftables 0.9.4 paketifiltri väljalaskmine

Avaldatud paketifiltri väljalaskmine nftables 0.9.4, mis areneb iptables, ip6tables, arptables ja ebtables asendamiseks, unifitseerides pakettide filtreerimise liideseid IPv4, IPv6, ARP ja võrgu silmade jaoks. Paketis nftables on komponentide paketifilter, mis töötab kasutaja ruumis, samas kui tuuma tasemel pakub tööd nf_tables subsystem, mis on osa Linuxi tuumast alates versioonist 3.13. Nftables 0.9.4 väljalaske jaoks vajalikud muudatused on lisatud tulevasse tuuma haru. Linux 5.6.

Ytme tasandi kasutab vaid üldist liidest, mis ei sõltu konkreetsest protokollist ja pakub põhifunktsioone andmete väljatõmbeks pakettidest, andmetega töötamiseks ja voogude haldamiseks. Filtreerimisreeglid ja protokollispetsiifilised töötlejad kompileeritakse kasutajaruumi baidi koodi, seejärel laaditakse see baidikood Netlinki liidese kaudu ytmesse ning seda täidetakse ytmes spetsiaalses virtuaalmasinas, mis meenutab BPF (Berkeley Packet Filters) protokolli. Selline lähenemine võimaldab oluliselt vähendada ytmes töötava filtreerimiskoodi suurust ja viia kõik reeglite parsingu ja protokollidega töötamise funktsioonid kasutajaruumi.

Põhilised uuendused:

• Toetused vahemike jaoks konkateneerimistes (concatenation, teatud aadressi ja portide sidumist, mis lihtsustavad vastavust). Näiteks „whitelist“ seadistuses, mille elemendid on konkateneerimine, näitab „interval“ lipu määramine, et komplekt võib sisaldada vahemikke konkateneerimises (nt „ipv4_addr . ipv4_addr . inet_service“ puhul oli varem võimalik loetleda täpsed vasteid nagu „192.168.10.35 . 192.68.11.123 . 80“, nüüd on lubatud määrata aadressigruppide vahemikke nagu „192.168.10.35-192.168.10.40 . 192.68.11.123-192.168.11.125 . 80“):

  table ip foo {
  set whitelist {
  type ipv4_addr . ipv4_addr . inet_service
  flags interval
  elements = { 192.168.10.35-192.168.10.40 . 192.68.11.123-192.168.11.125 . 80 }
  }

  chain bar {
  type filter hook prerouting priority filter; policy drop;
  ip saddr . ip daddr . tcp dport @whitelist accept
  }
  }

• Komplektides ja map-loendites on tagatud võimalus kasutada direktiivi „typeof”, mis määrab elemendi formaadi vastavuse ajal.
  Näiteks:

  table ip foo {
  set whitelist {
  typeof ip saddr
  elements = { 192.168.10.35, 192.168.10.101, 192.168.10.135 }
  }

  chain bar {
  type filter hook prerouting priority filter; policy drop;
  ip daddr @whitelist accept
  }
  }

  table ip foo {
  map addr2mark {
  typeof ip saddr : meta mark
  elements = { 192.168.10.35 : 0x00000001, 192.168.10.135 : 0x00000002 }
  }
  }

• Lisatud on võimalus kasutada konkateneerimisi NAT-seostes, mis võimaldab määrata aadressi ja pordi NAT-muunduste määratlemisel map-loendite või nimetatud komplektide alusel:

  nft add rule ip nat pre dnat ip addr . port to ip saddr map { 1.1.1.1 : 2.2.2.2 . 30 }

  nft add map ip nat destinations { type ipv4_addr . inet_service : ipv4_addr . inet_service \\; }
  nft add rule ip nat pre dnat ip addr . port to ip saddr . tcp dport map @destinations

• Riistvara kiirenduse tugi, mis viib mõned filtreerimise operatsioonid võrgu kaardi kanda. Kiirendus aktiveeritakse utiliidiga ethtool ("ethtool -K eth0 hw-tc-offload on"), seejärel aktiveeritakse nftables jaoks peamises ahelas lipuga "offload". Linuxi tuuma versioonis 5.6 toetatakse riistvara kiirendust päiseväljade sobitamiseks ja sissetuleva liidese kontrollimiseks koos pakettide vastuvõtmise, äraviskamise (dup) ja suunamise (fwd) funktsioonidega. Järgnevas näites visatakse pakette, mis tulevad aadressilt 192.168.30.20, võrgu kaardi tasemel, ilma pakettide tuuma saatmiseta:

  # cat file.nft
  table netdev x {
  chain y {
  type filter hook ingress device eth0 priority 10; flags offload;
  ip saddr 192.168.30.20 drop
  }
  }
  # nft -f file.nft

• Parandatud vigade teatamise täpsus reeglite puhul.

  # nft delete rule ip y z handle 7
  Viga: Reegli töötlemine ebaõnnestus: Tegu ei kehti
  delete rule ip y z handle 7
  ^

  # nft delete rule ip x x handle 7
  Viga: Reegli töötlemine ebaõnnestus: Tegu ei kehti
  delete rule ip x x handle 7
  ^

  # nft delete table twst
  Viga: Tegu ei kehti; kas soovisite table 'test' peres ip?
  delete table twst
  ^^^^

  Esimeses näites on näidatud, et tabel "y" puudub süsteemist, teises, et puudub töötleja "7", ja kolmandas, et kuvatakse soovitus trükivea kohta tabeli nime sisestamisel.

• Lisatud tugi slave-liidese kontrollimiseks, kasutades "meta sdif" või "meta sdifname":

  … meta sdifname vrf1 …

• Lisatud tugi paremale või vasakule nihke operatsioonidele. Näiteks, et nihutada olemasolevat paketi märki vasakule ühe biti võrra ja seada madalam bit väärtusele 1:

  … meta mark set meta mark lshift 1 or 0x1 …

• Rakendatud valik "-V" laienenud versiooniteabe kuvamiseks.

  # nft -V
  nftables v0.9.4 (Jive at Five)
  cli: readline
  json: jah
  minigmp: ei
  libxtables: jah

• Käskude valikud peavad nüüd olema näidatud enne käske. Näiteks tuleb kirjutada "nft -a list ruleset", samas kui "nft list ruleset -a" käivitamine toob kaasa veateate.

  Allikas: opennet.ru