nftables પેકેટ ફિલ્ટર 0.9.4 રિલીઝ

પ્રકાશિત પેકેટ ફિલ્ટર પ્રકાશન nftables 0.9.4, IPv6, IPv4, ARP અને નેટવર્ક બ્રિજ માટે પેકેટ ફિલ્ટરિંગ ઈન્ટરફેસને એકીકૃત કરીને iptables, ip6table, arptables અને ebtables માટે રિપ્લેસમેન્ટ તરીકે વિકાસ કરી રહ્યાં છે. nftables પેકેજમાં પેકેટ ફિલ્ટર ઘટકોનો સમાવેશ થાય છે કે જે વપરાશકર્તા જગ્યામાં ચાલે છે, જ્યારે કર્નલ-સ્તરનું કાર્ય nf_tables સબસિસ્ટમ દ્વારા પ્રદાન કરવામાં આવે છે, જે 3.13 ના પ્રકાશનથી Linux કર્નલનો ભાગ છે. કામ કરવા માટે nftables 0.9.4 પ્રકાશન માટે જરૂરી ફેરફારો ભવિષ્યની કર્નલ શાખામાં સમાવવામાં આવેલ છે. લિનક્સ 5.6.

કર્નલ સ્તર માત્ર એક સામાન્ય પ્રોટોકોલ-સ્વતંત્ર ઈન્ટરફેસ પૂરું પાડે છે જે પેકેટોમાંથી ડેટા કાઢવા, ડેટા ઓપરેશન કરવા અને ફ્લો કંટ્રોલ માટે મૂળભૂત કાર્યો પૂરા પાડે છે. ફિલ્ટરિંગ નિયમો અને પ્રોટોકોલ-વિશિષ્ટ હેન્ડલર્સ યુઝર સ્પેસમાં બાઈટકોડમાં કમ્પાઈલ કરવામાં આવે છે, ત્યારબાદ આ બાઈટકોડ નેટલિંક ઈન્ટરફેસનો ઉપયોગ કરીને કર્નલમાં લોડ કરવામાં આવે છે અને BPF (બર્કલે પેકેટ ફિલ્ટર્સ) ની યાદ અપાવે તેવા વિશિષ્ટ વર્ચ્યુઅલ મશીનમાં કર્નલમાં એક્ઝિક્યુટ કરવામાં આવે છે. આ અભિગમ તમને કર્નલ સ્તરે ચાલતા ફિલ્ટરિંગ કોડના કદને નોંધપાત્ર રીતે ઘટાડવા અને પ્રોટોકોલ સાથે કામ કરવા માટેના નિયમો અને તર્કશાસ્ત્રના તમામ કાર્યોને વપરાશકર્તાની જગ્યામાં ખસેડવાની મંજૂરી આપે છે.

મુખ્ય નવીનતાઓ:

• કનેક્શન્સમાં રેન્જ માટે સપોર્ટ (સંકલન, સરનામાંના ચોક્કસ બંડલ અને પોર્ટ જે સરખામણીને સરળ બનાવે છે). ઉદાહરણ તરીકે, સમૂહ "વ્હાઇટલિસ્ટ" માટે કે જેના તત્વો જોડાણ છે, "અંતરાલ" ધ્વજનો ઉલ્લેખ કરવાથી સૂચવવામાં આવશે કે સમૂહ જોડાણમાં શ્રેણીઓ સમાવી શકે છે (જોડાણ "ipv4_addr . ipv4_addr . inet_service" માટે અગાઉ ચોક્કસ સૂચિબદ્ધ કરવાનું શક્ય હતું. "192.168.10.35. 192.68.11.123" ફોર્મના મેળ અને હવે તમે "80-192.168.10.35-192.168.10.40.

  ટેબલ ip foo {
  વ્હાઇટલિસ્ટ સેટ કરો {
  ipv4_addr લખો. ipv4_addr. inet_service
  ફ્લેગ્સ અંતરાલ
  તત્વો = { 192.168.10.35-192.168.10.40 . 192.68.11.123-192.168.11.125. 80}
  }

  સાંકળ પટ્ટી {
  પ્રકાર ફિલ્ટર હૂક પ્રીરુટિંગ પ્રાયોરિટી ફિલ્ટર; નીતિમાં ઘટાડો;
  આઈપી સદ્દર. ip daddr. tcp dport @whitelist સ્વીકારો
  }
  }

• સેટ્સ અને નકશાની સૂચિમાં, "ટાઈપઓફ" નિર્દેશનો ઉપયોગ કરવો શક્ય છે, જે મેળ ખાતી વખતે તત્વનું ફોર્મેટ નક્કી કરે છે.
  ઉદાહરણ તરીકે:

  ટેબલ ip foo {
  વ્હાઇટલિસ્ટ સેટ કરો {
  આઇપી સેડરનો પ્રકાર
  તત્વો = { 192.168.10.35, 192.168.10.101, 192.168.10.135 }
  }

  સાંકળ પટ્ટી {
  પ્રકાર ફિલ્ટર હૂક પ્રીરુટિંગ પ્રાયોરિટી ફિલ્ટર; નીતિમાં ઘટાડો;
  ip daddr @whitelist સ્વીકારો
  }
  }

  ટેબલ ip foo {
  નકશો addr2mark {
  આઇપી સેડરનો પ્રકાર: મેટા માર્ક
  તત્વો = { 192.168.10.35 : 0x00000001, 192.168.10.135 : 0x00000002 }
  }
  }

• NAT બાઈન્ડિંગ્સમાં જોડાનો ઉપયોગ કરવાની ક્ષમતા ઉમેરવામાં આવી છે, જે તમને નકશાની સૂચિ અથવા નામના સેટ પર આધારિત NAT રૂપાંતરણને વ્યાખ્યાયિત કરતી વખતે સરનામું અને પોર્ટનો ઉલ્લેખ કરવાની મંજૂરી આપે છે:

  nft ઉમેરો નિયમ ip nat pre dnat ip addr . પોર્ટ ટુ આઈપી સેડર મેપ { 1.1.1.1 : 2.2.2.2 . ત્રીસ }

  nft નકશો ip nat ડેસ્ટિનેશન ઉમેરો { type ipv4_addr . inet_service: ipv4_addr. inet_service \\; }
  nft ઉમેરો નિયમ ip nat pre dnat ip addr . પોર્ટ ટુ આઈપી સેડર. tcp dport નકશો @ destinations

• નેટવર્ક કાર્ડ દ્વારા કરવામાં આવતી કેટલીક ફિલ્ટરિંગ કામગીરી સાથે હાર્ડવેર પ્રવેગક માટે સપોર્ટ. પ્રવેગક એથટૂલ યુટિલિટી ("ethtool -K eth0 hw-tc-offload ચાલુ") દ્વારા સક્ષમ કરવામાં આવે છે, જે પછી તે "ઓફલોડ" ફ્લેગનો ઉપયોગ કરીને મુખ્ય સાંકળ માટે nftables માં સક્રિય થાય છે. Linux કર્નલ 5.6 નો ઉપયોગ કરતી વખતે, હાર્ડવેર પ્રવેગકને હેડર ફીલ્ડ મેચિંગ અને ઇનકમિંગ ઈન્ટરફેસ ઈન્સ્પેક્શન માટે આધારભૂત છે, જે પ્રાપ્ત કરવા, કાઢી નાખવા, ડુપ્લિકેટિંગ (dup), અને ફોરવર્ડિંગ (fwd) પેકેટો સાથે સંયોજનમાં છે. નીચેના ઉદાહરણમાં, 192.168.30.20 સરનામાં પરથી આવતા પેકેટો મૂકવાની કામગીરી નેટવર્ક કાર્ડ સ્તરે, પેકેટોને કર્નલ સુધી પહોંચાડ્યા વિના કરવામાં આવે છે:

  # cat file.nft
  ટેબલ નેટદેવ x {
  સાંકળ y {
  પ્રકાર ફિલ્ટર હૂક પ્રવેશ ઉપકરણ eth0 અગ્રતા 10; ફ્લેગ ઓફલોડ;
  ip saddr 192.168.30.20 ડ્રોપ
  }
  }
  # nft -f file.nft

• નિયમોમાં ભૂલના સ્થાન વિશે સુધારેલ માહિતી.

  # nft ડિલીટ નિયમ ip yz હેન્ડલ 7
  ભૂલ: નિયમ પર પ્રક્રિયા કરી શકાઈ નથી: આવી કોઈ ફાઇલ અથવા ડિરેક્ટરી નથી
  નિયમ ip yz હેન્ડલ 7 કાઢી નાખો
  ^

  # nft ડિલીટ નિયમ ip xx હેન્ડલ 7
  ભૂલ: નિયમ પર પ્રક્રિયા કરી શકાઈ નથી: આવી કોઈ ફાઇલ અથવા ડિરેક્ટરી નથી
  નિયમ ip xx હેન્ડલ 7 કાઢી નાખો
  ^

  # nft ટેબલ ટ્વિસ્ટ કાઢી નાખો
  ભૂલ: આવી કોઈ ફાઇલ અથવા ડિરેક્ટરી નથી; શું તમારો મતલબ કૌટુંબિક આઈપીમાં ટેબલ 'ટેસ્ટ' છે?
  કોષ્ટક twst કાઢી નાખો
  ^^^^

  પ્રથમ ઉદાહરણ બતાવે છે કે કોષ્ટક “y” સિસ્ટમમાં નથી, બીજું કે “7” હેન્ડલર ખૂટે છે, અને ત્રીજું કે કોષ્ટકનું નામ લખતી વખતે ટાઇપો પ્રોમ્પ્ટ પ્રદર્શિત થાય છે.

• "meta sdif" અથવા "meta sdifname" નો ઉલ્લેખ કરીને સ્લેવ ઈન્ટરફેસને તપાસવા માટે સમર્થન ઉમેર્યું:

  ... મેટા sdifname vrf1 ...

• જમણી કે ડાબી પાળી કામગીરી માટે ઉમેરાયેલ આધાર. ઉદાહરણ તરીકે, હાલના પેકેટ લેબલને 1 બીટથી ડાબે શિફ્ટ કરવા અને નાના બીટને 1 પર સેટ કરવા માટે:

  … મેટા માર્ક સેટ મેટા માર્ક lshift 1 અથવા 0x1 …

• વિસ્તૃત સંસ્કરણ માહિતી પ્રદર્શિત કરવા માટે "-V" વિકલ્પ અમલમાં મૂક્યો.

  # nft -V
  nftables v0.9.4 (જીવ એટ ફાઇવ)
  cli:readline
  json: હા
  minigmp:ના
  libxtables: હા

• આદેશ વાક્ય વિકલ્પો હવે આદેશો પહેલાં સ્પષ્ટ થયેલ હોવા જોઈએ. ઉદાહરણ તરીકે, તમારે "nft -a list ruleset" નો ઉલ્લેખ કરવાની જરૂર છે, અને "nft list ruleset -a" ચલાવવાથી ભૂલ આવશે.

  સોર્સ: opennet.ru