nftables પેકેટ ફિલ્ટર 1.0.0 રિલીઝ

પેકેટ ફિલ્ટર nftables 1.0.0 નું પ્રકાશન પ્રકાશિત કરવામાં આવ્યું છે, જે IPv4, IPv6, ARP અને નેટવર્ક બ્રિજ (iptables, ip6table, arptables અને ebtables ને બદલવાના હેતુથી) માટે પેકેટ ફિલ્ટરિંગ ઈન્ટરફેસને એકીકૃત કરે છે. કામ કરવા માટે nftables 1.0.0 પ્રકાશન માટે જરૂરી ફેરફારો Linux 5.13 કર્નલમાં સમાવવામાં આવેલ છે. સંસ્કરણ નંબરમાં નોંધપાત્ર ફેરફાર એ કોઈપણ મૂળભૂત ફેરફારો સાથે સંકળાયેલ નથી, પરંતુ તે માત્ર દશાંશ સંકેતમાં સંખ્યાના સતત ચાલુ રાખવાનું પરિણામ છે (અગાઉનું પ્રકાશન 0.9.9 હતું).

nftables પેકેજમાં પેકેટ ફિલ્ટર ઘટકોનો સમાવેશ થાય છે કે જે વપરાશકર્તા જગ્યામાં ચાલે છે, જ્યારે કર્નલ-સ્તરનું કાર્ય nf_tables સબસિસ્ટમ દ્વારા પ્રદાન કરવામાં આવે છે, જે 3.13 ના પ્રકાશનથી Linux કર્નલનો ભાગ છે. કર્નલ સ્તર માત્ર એક સામાન્ય પ્રોટોકોલ-સ્વતંત્ર ઈન્ટરફેસ પૂરું પાડે છે જે પેકેટોમાંથી ડેટા કાઢવા, ડેટા ઓપરેશન કરવા અને ફ્લો કંટ્રોલ માટે મૂળભૂત કાર્યો પૂરા પાડે છે.

ફિલ્ટરિંગના નિયમો પોતે અને પ્રોટોકોલ-વિશિષ્ટ હેન્ડલર્સ યુઝર-સ્પેસ બાઇટકોડમાં કમ્પાઇલ કરવામાં આવે છે, જે પછી આ બાઇટકોડ નેટલિંક ઇન્ટરફેસનો ઉપયોગ કરીને કર્નલમાં લોડ કરવામાં આવે છે અને BPF (બર્કલે પેકેટ ફિલ્ટર્સ) જેવા વિશિષ્ટ વર્ચ્યુઅલ મશીનમાં કર્નલમાં ચલાવવામાં આવે છે. આ અભિગમ કર્નલ સ્તરે ચાલતા ફિલ્ટરિંગ કોડના કદને નોંધપાત્ર રીતે ઘટાડવાનું શક્ય બનાવે છે અને પાર્સિંગ નિયમોના તમામ કાર્યો અને પ્રોટોકોલ સાથે કામ કરવાના તર્કને વપરાશકર્તા જગ્યામાં ખસેડે છે.

મુખ્ય નવીનતાઓ:

• “*” માસ્ક એલિમેન્ટ માટેનો આધાર સેટ લિસ્ટમાં ઉમેરવામાં આવ્યો છે, જે કોઈપણ પેકેજો માટે ટ્રિગર થાય છે જે સેટમાં વ્યાખ્યાયિત અન્ય ઘટકો હેઠળ આવતા નથી. કોષ્ટક x { નકશો બ્લોકલિસ્ટ { પ્રકાર ipv4_addr : ચુકાદા ફ્લેગ્સ અંતરાલ તત્વો = { 192.168.0.0/16 : સ્વીકારો, 10.0.0.0/8 : સ્વીકારો, * : ડ્રોપ } } સાંકળ y { પ્રકાર ફિલ્ટર હૂક પ્રીરોટીંગ પ્રાયોરિટી 0; નીતિ સ્વીકારો; ip saddr vmap @blocklist } }
• "--define" વિકલ્પનો ઉપયોગ કરીને આદેશ વાક્યમાંથી ચલોને વ્યાખ્યાયિત કરવાનું શક્ય છે. # cat test.nft ટેબલ netdev x { સાંકળ y { ટાઇપ ફિલ્ટર હૂક ઇન્ગ્રેસ ઉપકરણો = $dev અગ્રતા 0; નીતિમાં ઘટાડો; } } # nft — define dev="{ eth0, eth1 }" -f test.nft
• નકશા સૂચિમાં, સતત (સ્ટેટફુલ) અભિવ્યક્તિઓનો ઉપયોગ કરવાની મંજૂરી છે: ટેબલ ઇનેટ ફિલ્ટર { નકશો પોર્ટમેપ { પ્રકાર inet_service : ચુકાદો કાઉન્ટર એલિમેન્ટ્સ = { 22 કાઉન્ટર પેકેટ્સ 0 બાઇટ્સ 0 : જમ્પ ssh_ઇનપુટ, * કાઉન્ટર પેકેટ્સ 0 બાઇટ્સ 0 : ડ્રોપ } } સાંકળ ssh_input { } સાંકળ wan_input { tcp dport vmap @portmap } સાંકળ પ્રીરોટીંગ { પ્રકાર ફિલ્ટર હૂક પ્રીરોટીંગ પ્રાયોરીટી રો; નીતિ સ્વીકારો; iif vmap { "lo" : જમ્પ wan_input } }
• આપેલ પેકેટ ફેમિલી માટે હેન્ડલર્સની યાદી પ્રદર્શિત કરવા માટે "લિસ્ટ હુક્સ" આદેશ ઉમેર્યો: # nft લિસ્ટ હુક્સ ip ઉપકરણ eth0 ફેમિલી ip { હૂક ઇન્ગ્રેસ { +0000000010 ચેઇન નેટદેવ xy [nf_tables] +0000000300 ચેઇન ઇનેટ mw [nf_tables in] { -0000000100 સાંકળ ip ab [nf_tables] +0000000300 સાંકળ inet mz [nf_tables] } હૂક ફોરવર્ડ { -0000000225 selinux_ipv4_forward 0000000000 સાંકળ ip ac [nf_tables }0000000225_4 બહાર પાડો 0000000225_આઉટપુટ } હૂક પોસ્ટરોટીંગ { +4 XNUMX selinux_ipvXNUMX_postroute } }
• કતાર બ્લોક્સ jhash, symhash અને numgen અભિવ્યક્તિઓને યુઝર સ્પેસમાં કતારોમાં પેકેટો વિતરિત કરવા માટે જોડવાની મંજૂરી આપે છે. … કતાર થી સિમહાશ મોડ 65536 … કતાર ફ્લેગ્સ બાયપાસ ટુ નમજેન inc મોડ 65536 … કતાર થી ઝશ ઓઇએફ . મેટા માર્ક મોડ 32 "કતાર" ને નકશાની યાદીઓ સાથે પણ જોડી શકાય છે જેથી આર્બિટરી કીના આધારે વપરાશકર્તા જગ્યામાં કતાર પસંદ કરી શકાય. ... કતાર ફ્લેગ્સ oifname નકશાને બાયપાસ { "eth0" : 0, "pp0" : 2, "eth1" : 2 }
• વિવિધ નકશાઓમાં સમૂહ સૂચિનો સમાવેશ કરતા ચલોને વિસ્તૃત કરવાનું શક્ય છે. ઇન્ટરફેસ વ્યાખ્યાયિત કરો = { eth0, eth1 } કોષ્ટક ip x { સાંકળ y { પ્રકાર ફિલ્ટર હૂક ઇનપુટ પ્રાધાન્યતા 0; નીતિ સ્વીકારો; iifname vmap { lo : સ્વીકારો, $ ઇન્ટરફેસ : ડ્રોપ } } } # nft -f x.nft # nft સૂચિ નિયમો સેટ ટેબલ ip x { સાંકળ y { પ્રકાર ફિલ્ટર હૂક ઇનપુટ પ્રાધાન્યતા 0; નીતિ સ્વીકારો; iifname vmap { "lo" : સ્વીકારો, "eth0" : ડ્રોપ, "eth1" : ડ્રોપ } }
• અંતરાલો પર vmaps (ચુકાદો નકશો) જોડવાની મંજૂરી છે: # nft નિયમ xy tcp dport ઉમેરો. ip saddr vmap { 1025-65535 . 192.168.10.2 : સ્વીકારો }
• NAT મેપિંગ માટે સરળ સિન્ટેક્સ. સરનામાં રેન્જનો ઉલ્લેખ કરવાની મંજૂરી છે: ... snat to ip saddr નકશો { 10.141.11.4 : 192.168.2.2-192.168.2.4 } અથવા સ્પષ્ટ IP સરનામાં અને પોર્ટ્સ: ... dnat to ip saddr નકશો { 10.141.11.4. . 192.168.2.3 } અથવા IP રેન્જ અને પોર્ટના સંયોજનો: ... dnat to ip saddr . tcp ડીપોર્ટ નકશો { 80 . 192.168.1.2: 80-10.141.10.2. 10.141.10.5-8888 }

સોર્સ: opennet.ru