Arturo Borrero, développeur Debian, membre de l'équipe principale du projet Netfilter et en charge des paquets liés à nftables, iptables et netfilter dans Debian. de migrer la distribution Debian 11 vers l'utilisation de nftables par défaut. Si la proposition est approuvée, les paquets iptables seront considérés comme des options facultatives, ne faisant pas partie de l'installation de base.
Le filtre de paquets Nftables se distingue par l'unification des interfaces de filtrage des paquets pour IPv4, IPv6, ARP et les ponts réseau. Nftables fournit au niveau du noyau une interface générale, indépendante du protocole spécifique, permettant des fonctions de base d'extraction de données des paquets, d'exécution d'opérations sur les données et de contrÎle du flux. La logique de filtrage et les gestionnaires spécifiques aux protocoles sont compilés en bytecode dans l'espace utilisateur, puis ce bytecode est chargé dans le noyau via l'interface Netlink et exécuté dans une machine virtuelle spéciale, semblable aux BPF (Berkeley Packet Filters).
Par dĂ©faut, Debian 11 propose Ă©galement d'utiliser le pare-feu dynamique firewalld, qui sert de couche au-dessus de nftables. Firewalld fonctionne en tant que processus en arriĂšre-plan, permettant de modifier dynamiquement les rĂšgles de filtrage des paquets via DBus, sans avoir besoin de redĂ©marrer les rĂšgles de filtrage et sans couper les connexions Ă©tablies. L'outil utilisĂ© pour gĂ©rer le pare-feu est firewall-cmd, qui lors de la crĂ©ation des rĂšgles se base non sur les interfaces rĂ©seau et les numĂ©ros de ports, mais sur les noms de services (par exemple, pour ouvrir l'accĂšs Ă SSH, il faut exĂ©cuter « firewall-cmd --add --service=ssh », pour fermer SSH â « firewall-cmd --remove --service=ssh »). adresses IP, d'interfaces rĂ©seau et de numĂ©ros de ports, ainsi que des noms de services (par exemple, pour ouvrir l'accĂšs Ă SSH, il faut exĂ©cuter «firewall-cmd âadd âservice=ssh», pour fermer SSH â «firewall-cmd âremove âservice=ssh»).
Source : opennet.ru
