nftables પેકેટ ફિલ્ટર 1.0.3 રિલીઝ

પેકેટ ફિલ્ટર nftables 1.0.3 નું પ્રકાશન પ્રકાશિત કરવામાં આવ્યું છે, જે IPv4, IPv6, ARP અને નેટવર્ક બ્રિજ (iptables, ip6table, arptables અને ebtables ને બદલવાના હેતુથી) માટે પેકેટ ફિલ્ટરિંગ ઈન્ટરફેસને એકીકૃત કરે છે. કામ કરવા માટે nftables 1.0.3 પ્રકાશન માટે જરૂરી ફેરફારો Linux 5.18 કર્નલમાં સમાવવામાં આવેલ છે.

nftables પેકેજમાં પેકેટ ફિલ્ટર ઘટકોનો સમાવેશ થાય છે કે જે વપરાશકર્તા જગ્યામાં ચાલે છે, જ્યારે કર્નલ-સ્તરનું કાર્ય nf_tables સબસિસ્ટમ દ્વારા પ્રદાન કરવામાં આવે છે, જે 3.13 ના પ્રકાશનથી Linux કર્નલનો ભાગ છે. કર્નલ સ્તર માત્ર એક સામાન્ય પ્રોટોકોલ-સ્વતંત્ર ઈન્ટરફેસ પૂરું પાડે છે જે પેકેટોમાંથી ડેટા કાઢવા, ડેટા ઓપરેશન કરવા અને ફ્લો કંટ્રોલ માટે મૂળભૂત કાર્યો પૂરા પાડે છે.

ફિલ્ટરિંગના નિયમો પોતે અને પ્રોટોકોલ-વિશિષ્ટ હેન્ડલર્સ યુઝર-સ્પેસ બાઇટકોડમાં કમ્પાઇલ કરવામાં આવે છે, જે પછી આ બાઇટકોડ નેટલિંક ઇન્ટરફેસનો ઉપયોગ કરીને કર્નલમાં લોડ કરવામાં આવે છે અને BPF (બર્કલે પેકેટ ફિલ્ટર્સ) જેવા વિશિષ્ટ વર્ચ્યુઅલ મશીનમાં કર્નલમાં ચલાવવામાં આવે છે. આ અભિગમ કર્નલ સ્તરે ચાલતા ફિલ્ટરિંગ કોડના કદને નોંધપાત્ર રીતે ઘટાડવાનું શક્ય બનાવે છે અને પાર્સિંગ નિયમોના તમામ કાર્યો અને પ્રોટોકોલ સાથે કામ કરવાના તર્કને વપરાશકર્તા જગ્યામાં ખસેડે છે.

મુખ્ય નવીનતાઓ:

• સેટ લિસ્ટ હવે માસ્ક દ્વારા મેળ ખાતા નેટવર્ક ઈન્ટરફેસ નામોને સમર્થન આપે છે, ઉદાહરણ તરીકે, “*” પ્રતીકનો ઉપયોગ કરીને ઉલ્લેખિત: ટેબલ ઇનેટ ટેસ્ટિફસેટ્સ { સેટ સિમ્પલ_વાઇલ્ડ { ટાઇપ ifname ફ્લેગ્સ ઇન્ટરવલ એલિમેન્ટ્સ = { “abcdef*”, “અન્ય નામ”, “ppp0” } } સાંકળ v4icmp { પ્રકાર ફિલ્ટર હૂક ઇનપુટ પ્રાધાન્યતા 0; નીતિ સ્વીકારો; iifname @simple_wild કાઉન્ટર પેકેટ્સ 0 બાઇટ્સ 0 iifname { “abcdef*”, “eth0” } કાઉન્ટર પેકેટ્સ 0 બાઇટ્સ 0 } }
• ઑપરેશન દરમિયાન એકબીજાને છેદતા સેટ-સૂચિ ઘટકોનું ઑટોમેટિક મર્જિંગ લાગુ કર્યું. પહેલાં, જ્યારે "ઓટો-મર્જ" વિકલ્પ સેટ કરવામાં આવ્યો હતો, ત્યારે નિયમો જાહેર કરવાના તબક્કે મર્જિંગ હાથ ધરવામાં આવતું હતું, પરંતુ હવે જ્યારે ઓપરેશન દરમિયાન નવા ઘટકોને વધારામાં ઉમેરવામાં આવે ત્યારે તે પણ કાર્ય કરે છે. ઉદાહરણ તરીકે, ઘોષણાના તબક્કે, સૂચિ સેટ y { ફ્લેગ્સ અંતરાલ ઓટો-મર્જ તત્વો = { 1.2.3.0, 1.2.3.255, 1.2.3.0/24, 3.3.3.3, 4.4.4.4, 4.4.4.4-4.4.4.8 , 3.3.3.4 , 3.3.3.5 } } તત્વોમાં ફેરવાશે = { 1.2.3.0/24, 3.3.3.3-3.3.3.5, 4.4.4.4-4.4.4.8 } અને પછી જો તમે નવા ઘટકો ઉમેરો # nft એલિમેન્ટ ઉમેરો ip xy { 1.2.3.0 -1.2.4.255, 3.3.3.6 } તત્વો = { 1.2.3.0-1.2.4.255, 3.3.3.3-3.3.3.6, 4.4.4.4-4.4.4.8 } જેવા દેખાશે

  જ્યારે તમે સૂચિમાંથી વ્યક્તિગત આઇટમ્સ દૂર કરો છો જે હાલની શ્રેણીની આઇટમ્સમાં આવે છે, ત્યારે શ્રેણી ટૂંકી અથવા વિભાજિત થાય છે.

• નકશા સૂચિમાં મલ્ટિપલ એડ્રેસ ટ્રાન્સલેશન (NAT) નિયમોને સંયોજિત કરવા માટેનો આધાર નિયમો ઑપ્ટિમાઇઝરમાં ઉમેરવામાં આવ્યો છે, જ્યારે "-o/—ઑપ્ટિમાઇઝ" વિકલ્પ ઉલ્લેખિત હોય ત્યારે કહેવાય છે. ઉદાહરણ તરીકે, સેટ માટે # cat ruleset.nft ટેબલ ip x { સાંકળ y { ટાઈપ nat hook postrouting priority srcnat; નીતિમાં ઘટાડો; ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ip saddr 2.2.2.2 tcp dport 8001 snat to 5.5.5.5:90 } }

  "nft -o -c -f ruleset.nft" ચલાવવાથી અલગ "ip saddr" નિયમોને નકશા સૂચિમાં રૂપાંતરિત થશે: snat to ip saddr. tcp ડીપોર્ટ નકશો { 1.1.1.1 . 8000: 4.4.4.4. 80, 2.2.2.2. 8001: 5.5.5.5. 90}

  તેવી જ રીતે, કાચી અભિવ્યક્તિઓને નકશાની સૂચિમાં રૂપાંતરિત કરી શકાય છે: # cat ruleset.nft ટેબલ ip x { […] સાંકળ nat_dns_acme { udp લંબાઈ 47-63 @th,160,128 0x0e373135363130333131303735353203 @d_t62st _t78st લંબાઈ 160,128 0x0e31393032383939353831343037320e goto nat_dns_this_5301 udp લંબાઈ 62-78 @th,160,128 0x0e31363436323733373931323934300e nat_dns_saturn_5301 પર જાઓ 62e જાઓ nat_dns_saturn_78 udp લંબાઈ 160,128-0 @th,0 32393535373539353636383732310x5302e62e nat_dns_saturn_78 ડ્રોપ પર જાઓ }}

  ઑપ્ટિમાઇઝેશન પછી અમને નકશાની સૂચિ મળે છે: udp length. @th,160,128 vmap { 47-63 . 0x0e373135363130333131303735353203 : goto nat_dns_dnstc, 62-78 . 0x0e31393032383939353831343037320e : nat_dns_this_5301, 62-78 પર જાઓ. 0x0e31363436323733373931323934300e : nat_dns_saturn_5301, 62-78 પર જાઓ. 0x0e32393535373539353636383732310e : nat_dns_saturn_5302, 62-78 પર જાઓ. 0x0e38353439353637323038363633390e : goto nat_dns_saturn_5303 }

• જોડાણ કામગીરીમાં કાચા અભિવ્યક્તિઓનો ઉપયોગ કરવાની મંજૂરી છે. ઉદાહરણ તરીકે: #nft ઉમેરો નિયમ xy ip saddr. @ih,32,32 { 1.1.1.1 . 0x14, 2.2.2.2 . 0x1e } અથવા ટેબલ x { સેટ y { ip saddr નો પ્રકાર . @ih,32,32 તત્વો = { 1.1.1.1 . 0x14 } }
• સંકલન કામગીરીમાં પૂર્ણાંક હેડર ફીલ્ડનો ઉલ્લેખ કરવા માટે ઉમેરાયેલ સમર્થન: ટેબલ ઇનેટ t { નકશો m1 { પ્રકાર udp લંબાઈ. @ih,32,32 : ચુકાદા ફ્લેગ્સ અંતરાલ તત્વો = { 20-80 . 0x14 : સ્વીકારો, 1-10 . 0xa : ડ્રોપ } } સાંકળ c { પ્રકાર ફિલ્ટર હૂક ઇનપુટ પ્રાધાન્યતા 0; નીતિમાં ઘટાડો; udp લંબાઈ. @ih,32,32 vmap @m1 } }
• TCP વિકલ્પોને રીસેટ કરવા માટે ઉમેરાયેલ સમર્થન (માત્ર Linux કર્નલ 5.18+ સાથે કામ કરે છે): tcp ફ્લેગ્સ syn reset tcp વિકલ્પ sack-perm
• સાંકળ આઉટપુટ આદેશો ("nft સૂચિ સાંકળ xy") ના અમલને વેગ આપવામાં આવ્યો છે.

સોર્સ: opennet.ru