nftables પેકેટ ફિલ્ટર 0.9.9 રિલીઝ

પેકેટ ફિલ્ટર nftables 0.9.9 નું પ્રકાશન પ્રકાશિત કરવામાં આવ્યું છે, જે IPv4, IPv6, ARP અને નેટવર્ક બ્રિજ (iptables, ip6table, arptables અને ebtables ને બદલવાના હેતુથી) માટે પેકેટ ફિલ્ટરિંગ ઈન્ટરફેસને એકીકૃત કરે છે. તે જ સમયે, સાથી લાઇબ્રેરી libnftnl 1.2.0 નું પ્રકાશન પ્રકાશિત થયું હતું, જે nf_tables સબસિસ્ટમ સાથે ક્રિયાપ્રતિક્રિયા કરવા માટે નિમ્ન-સ્તરની API પ્રદાન કરે છે. કામ કરવા માટે nftables 0.9.9 પ્રકાશન માટે જરૂરી ફેરફારો Linux કર્નલ 5.13-rc1 માં સમાવવામાં આવેલ છે.

nftables પેકેજમાં પેકેટ ફિલ્ટર ઘટકોનો સમાવેશ થાય છે કે જે વપરાશકર્તા જગ્યામાં ચાલે છે, જ્યારે કર્નલ-સ્તરનું કાર્ય nf_tables સબસિસ્ટમ દ્વારા પ્રદાન કરવામાં આવે છે, જે 3.13 ના પ્રકાશનથી Linux કર્નલનો ભાગ છે. કર્નલ સ્તર માત્ર એક સામાન્ય પ્રોટોકોલ-સ્વતંત્ર ઈન્ટરફેસ પૂરું પાડે છે જે પેકેટોમાંથી ડેટા કાઢવા, ડેટા ઓપરેશન કરવા અને ફ્લો કંટ્રોલ માટે મૂળભૂત કાર્યો પૂરા પાડે છે.

ફિલ્ટરિંગના નિયમો પોતે અને પ્રોટોકોલ-વિશિષ્ટ હેન્ડલર્સ યુઝર-સ્પેસ બાઇટકોડમાં કમ્પાઇલ કરવામાં આવે છે, જે પછી આ બાઇટકોડ નેટલિંક ઇન્ટરફેસનો ઉપયોગ કરીને કર્નલમાં લોડ કરવામાં આવે છે અને BPF (બર્કલે પેકેટ ફિલ્ટર્સ) જેવા વિશિષ્ટ વર્ચ્યુઅલ મશીનમાં કર્નલમાં ચલાવવામાં આવે છે. આ અભિગમ કર્નલ સ્તરે ચાલતા ફિલ્ટરિંગ કોડના કદને નોંધપાત્ર રીતે ઘટાડવાનું શક્ય બનાવે છે અને પાર્સિંગ નિયમોના તમામ કાર્યો અને પ્રોટોકોલ સાથે કામ કરવાના તર્કને વપરાશકર્તા જગ્યામાં ખસેડે છે.

મુખ્ય નવીનતાઓ:

• ફ્લોટેબલ પ્રોસેસિંગને નેટવર્ક એડેપ્ટર બાજુ પર ખસેડવાની ક્ષમતા લાગુ કરવામાં આવી છે, જે 'ઓફલોડ' ફ્લેગનો ઉપયોગ કરીને સક્ષમ છે. ફ્લોટેબલ એ પેકેટ રીડાયરેક્શનના માર્ગને ઑપ્ટિમાઇઝ કરવા માટેની એક પદ્ધતિ છે, જેમાં તમામ નિયમ પ્રક્રિયા સાંકળોનો સંપૂર્ણ માર્ગ ફક્ત પ્રથમ પેકેટ પર જ લાગુ કરવામાં આવે છે, અને પ્રવાહમાંના અન્ય તમામ પેકેટો સીધા જ આગળ મોકલવામાં આવે છે. ટેબલ ip ગ્લોબલ { ફ્લોટેબલ f { હૂક ઇન્ગ્રેસ પ્રાયોરિટી ફિલ્ટર + 1 ડિવાઇસ = { lan3, lan0, વાન } ફ્લેગ્સ ઑફલોડ } ચેઇન ફોરવર્ડ { ટાઇપ ફિલ્ટર હૂક ફોરવર્ડ પ્રાયોરિટી ફિલ્ટર; નીતિ સ્વીકારો; ip પ્રોટોકોલ { tcp, udp } ફ્લો ઍડ @f } ચેઇન પોસ્ટ { ટાઇપ નેટ હૂક પોસ્ટરોટીંગ પ્રાયોરિટી ફિલ્ટર; નીતિ સ્વીકારો; oifname "વાન" માસ્કરેડ } }
• કોઈ પ્રક્રિયા દ્વારા કોષ્ટકનો વિશિષ્ટ ઉપયોગ સુનિશ્ચિત કરવા માટે માલિકના ધ્વજને ટેબલ સાથે જોડવા માટે ઉમેરાયેલ સમર્થન. જ્યારે કોઈ પ્રક્રિયા સમાપ્ત થાય છે, ત્યારે તેની સાથે સંકળાયેલ કોષ્ટક આપમેળે કાઢી નાખવામાં આવે છે. પ્રક્રિયા વિશેની માહિતી ટિપ્પણીના રૂપમાં નિયમો ડમ્પમાં પ્રદર્શિત થાય છે: ટેબલ ip x { # progname nft flags owner chain y { type filter hook input priority filter; નીતિ સ્વીકારો; કાઉન્ટર પેકેટો 1 બાઇટ્સ 309 } }
• IEEE 802.1ad સ્પેસિફિકેશન (VLAN સ્ટેકીંગ અથવા QinQ) માટે ઉમેરાયેલ સમર્થન, જે એક ઇથરનેટ ફ્રેમમાં બહુવિધ VLAN ટૅગ્સને બદલવા માટેના માધ્યમને વ્યાખ્યાયિત કરે છે. ઉદાહરણ તરીકે, બાહ્ય ઇથરનેટ ફ્રેમ 8021ad અને vlan id=342 ના પ્રકારને તપાસવા માટે, તમે બાંધકામનો ઉપયોગ કરી શકો છો ... ઇથરનેટ ફ્રેમ 802.1ad/vlan id=342, નેસ્ટેડ 8021 ના બાહ્ય પ્રકારને તપાસવા માટે ઇથર ટાઇપ 1ad vlan id 802.1 પ્ર
• એકીકૃત વંશવેલો cgroups v2 નો ઉપયોગ કરીને સંસાધનોનું સંચાલન કરવા માટે ઉમેરાયેલ આધાર. cgroups v2 અને v1 વચ્ચેનો મુખ્ય તફાવત એ CPU સંસાધનોની ફાળવણી માટે, મેમરી વપરાશના નિયમન માટે અને I/O માટે અલગ પદાનુક્રમને બદલે તમામ પ્રકારના સંસાધનો માટે સામાન્ય cgroups પદાનુક્રમનો ઉપયોગ છે. ઉદાહરણ તરીકે, પ્રથમ સ્તર cgroupv2 પર સોકેટનો પૂર્વજ “system.slice” માસ્ક સાથે મેળ ખાય છે કે કેમ તે તપાસવા માટે, તમે બાંધકામનો ઉપયોગ કરી શકો છો: ... socket cgroupv2 સ્તર 1 “system.slice”
• SCTP પેકેટોના ઘટકોને તપાસવાની ક્ષમતા ઉમેરવામાં આવી છે (આ માટે જરૂરી કાર્યક્ષમતા Linux 5.14 કર્નલમાં દેખાશે). ઉદાહરણ તરીકે, પેકેટમાં 'ડેટા' ટાઇપ અને ફીલ્ડ 'ટાઇપ' સાથેનો હિસ્સો છે કે કેમ તે તપાસવા માટે: ... sctp ચંક ડેટા અસ્તિત્વમાં છે ... sctp ભાગ ડેટા પ્રકાર 0
• "-f" ફ્લેગનો ઉપયોગ કરીને નિયમ લોડિંગ ઑપરેશનના અમલને લગભગ બે વખત ઝડપી કરવામાં આવ્યો છે. નિયમોની યાદીના આઉટપુટને પણ વેગ મળ્યો છે.
• ફ્લેગ બિટ્સ સેટ છે કે કેમ તે ચકાસવા માટેનું કોમ્પેક્ટ ફોર્મ પ્રદાન કરવામાં આવ્યું છે. ઉદાહરણ તરીકે, snat અને dnat સ્ટેટસ બિટ્સ સેટ નથી તે ચકાસવા માટે, તમે સ્પષ્ટ કરી શકો છો: ... ct status ! snat,dnat ચકાસવા માટે કે સિન બિટ બિટમાસ્કમાં સેટ છે, ack: ... tcp ફ્લેગ્સ syn/syn,ack ચકાસવા માટે કે fin અને rst બિટ્સ બિટમાસ્ક syn,ack,fin,rst માં સેટ નથી: ... tcp ફ્લેગ્સ! = fin,rst / syn,ack,fin,rst
• સેટ/નકશાના પ્રકારોની વ્યાખ્યાઓમાં "ચુકાદો" કીવર્ડને મંજૂરી આપો: નકશો xm { typeof iifname ઉમેરો. આઈપી પ્રોટોકોલ મી ડીપોર્ટ : ચુકાદો ;}

સોર્સ: opennet.ru