nftables પેકેટ ફિલ્ટર 1.0.6 રિલીઝ

nftables 1.0.6 પેકેટ ફિલ્ટર પ્રકાશન પ્રકાશિત કરવામાં આવ્યું છે, જે IPv4, IPv6, ARP અને નેટવર્ક બ્રિજ માટે પેકેટ ફિલ્ટરિંગ ઇન્ટરફેસને એકીકૃત કરે છે (iptables, ip6table, arptables અને ebtables ને બદલવાનો હેતુ). nftables પેકેજમાં પેકેટ ફિલ્ટર ઘટકોનો સમાવેશ થાય છે જે વપરાશકર્તા જગ્યામાં ચાલે છે, જ્યારે કર્નલ સ્તર nf_tables સબસિસ્ટમ દ્વારા પ્રદાન કરવામાં આવે છે, જે રિલીઝ 3.13 થી Linux કર્નલનો ભાગ છે. કર્નલ સ્તરે, માત્ર એક સામાન્ય પ્રોટોકોલ-સ્વતંત્ર ઇન્ટરફેસ પ્રદાન કરવામાં આવે છે જે પેકેટોમાંથી ડેટા કાઢવા, ડેટા પર કામગીરી કરવા અને પ્રવાહને નિયંત્રિત કરવા માટે મૂળભૂત કાર્યો પૂરા પાડે છે.

ફિલ્ટરિંગના નિયમો પોતે અને પ્રોટોકોલ-વિશિષ્ટ હેન્ડલર્સ યુઝર-સ્પેસ બાઇટકોડમાં કમ્પાઇલ કરવામાં આવે છે, જે પછી આ બાઇટકોડ નેટલિંક ઇન્ટરફેસનો ઉપયોગ કરીને કર્નલમાં લોડ કરવામાં આવે છે અને BPF (બર્કલે પેકેટ ફિલ્ટર્સ) જેવા વિશિષ્ટ વર્ચ્યુઅલ મશીનમાં કર્નલમાં ચલાવવામાં આવે છે. આ અભિગમ કર્નલ સ્તરે ચાલતા ફિલ્ટરિંગ કોડના કદને નોંધપાત્ર રીતે ઘટાડવાનું શક્ય બનાવે છે અને પાર્સિંગ નિયમોના તમામ કાર્યો અને પ્રોટોકોલ સાથે કામ કરવાના તર્કને વપરાશકર્તા જગ્યામાં ખસેડે છે.

મુખ્ય ફેરફારો:

• નિયમો ઑપ્ટિમાઇઝર, જ્યારે “-o/—ઑપ્ટિમાઇઝ” વિકલ્પનો ઉલ્લેખ કરવામાં આવે ત્યારે કહેવાય છે, તેમાં નિયમોનું સ્વચાલિત પેકેજિંગ હોય છે અને તેને નકશામાં રૂપાંતરિત કરીને અને સૂચિઓ સેટ કરે છે. ઉદાહરણ તરીકે, નિયમો # cat ruleset.nft ટેબલ ip x { સાંકળ y { પ્રકાર ફિલ્ટર હૂક ઇનપુટ પ્રાયોરિટી ફિલ્ટર; નીતિમાં ઘટાડો; meta iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 સ્વીકારો meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.4 સ્વીકારો meta iifname eth1 ip saddr 1.1.1.2 ip2.2.3.0 ip24.ifname saddr/1 સ્વીકારો 1.1.1.2 .2.2.4.0 ip daddr 2.2.4.10-2 સ્વીકારો meta iifname eth1.1.1.3 ip saddr 2.2.2.5 ip daddr 4 accept } } એક્ઝિક્યુટ કર્યા પછી "nft -o -c -f ruleset.nft" નીચે પ્રમાણે રૂપાંતરિત થશે: નિયમો . nft:17:74-1: meta iifname eth1.1.1.1 ip saddr 2.2.2.3 ip daddr 5 accept ruleset.nft:17:74-1: meta iifname eth1.1.1.2 ip saddr 2.2.2.4 ip daddr 6 રૂલ્સ સ્વીકારો. : 17:77-1: meta iifname eth1.1.1.2 ip saddr 2.2.3.0 ip daddr 24/7 accept ruleset.nft:17:83-1: meta iifname eth1.1.1.2 ip saddr 2.2.4.0 ip daddr 2.2.4.10-8 Ruleset.nft:17:74-2 સ્વીકારો: meta iifname eth1.1.1.3 ip saddr 2.2.2.5 ip daddr 1 સ્વીકારો: iifname. આઈપી સદ્દર. ip daddr { eth1.1.1.1 . 2.2.2.3. 1, eth1.1.1.2 . 2.2.2.4. 1, eth1.1.1.2 . 2.2.3.0. 24/1, eth1.1.1.2 . 2.2.4.0. 2.2.4.10-2, eth1.1.1.3. 2.2.2.5. XNUMX } સ્વીકારો
• ઑપ્ટિમાઇઝર એવા નિયમોને પણ રૂપાંતરિત કરી શકે છે જે પહેલાથી જ સરળ સેટ સૂચિનો ઉપયોગ વધુ કોમ્પેક્ટ સ્વરૂપમાં કરે છે, ઉદાહરણ તરીકે નિયમો: # cat ruleset.nft ટેબલ ip ફિલ્ટર { ચેઇન ઇનપુટ { ટાઇપ ફિલ્ટર હૂક ઇનપુટ પ્રાયોરિટી ફિલ્ટર; નીતિમાં ઘટાડો; iifname “lo” સ્વીકારો ct રાજ્ય સ્થાપિત, સંબંધિત સ્વીકારો ટિપ્પણી “અમે ટ્રાફિકમાં ઉદ્ભવ્યા છીએ, અમે વિશ્વાસ કરીએ છીએ” iifname “enp0s31f6” ip saddr { 209.115.181.102, 216.197.228.230 } ip daddr 10.0.0.149 123 સ્વીકારો iifname "enp32768s65535f0" ip saddr { 31, 6 } ip daddr 64.59.144.17 udp sport 64.59.150.133 udp dport 10.0.0.149-53 }-પૅકેજ }-પૅકેજ પછી કાપવામાં આવશે. અનુસરે છે : Ruleset.nft:32768:65535-6: iifname "enp22s149f0" ip saddr { 31, 6 } ip daddr 209.115.181.102 udp રમતગમતના નિયમો 216.197.228.230-10.0.0.149 udp સ્વીકારે છે. :123- 32768: iifname "enp65535s7f22" ip saddr { 143, 0 } ip daddr 31 udp sport 6 udp dport 64.59.144.17-64.59.150.133 આમાં સ્વીકારો: iif નામ. આઈપી સદ્દર. ip daddr. udp સ્પોર્ટ. યુડીપી ડીપોર્ટ { enp10.0.0.149s53f32768 . 65535. 0. 31. 6-209.115.181.102, enp10.0.0.149s123f32768. 65535. 0. 31. 6-216.197.228.230, enp10.0.0.149s123f32768. 65535. 0. 31. 6-64.59.144.17, enp10.0.0.149s53f32768. 65535. 0. 31. 6-64.59.150.133 } સ્વીકારો
• IPv4 (નેટવર્ક બાઈટ ઓર્ડર) અને મેટા માર્ક (સિસ્ટમ બાઈટ ઓર્ડર) જેવા અલગ-અલગ બાઈટ ઓર્ડર સાથે પ્રકારોનો ઉપયોગ કરતા અંતરાલોને મર્જ કરવા માટે બાઈટકોડ જનરેશનની સમસ્યા ઉકેલાઈ. કોષ્ટક ip x { નકશો w { ip saddr નો પ્રકાર . મેટા માર્ક : ચુકાદા ફ્લેગ્સ ઇન્ટરવલ કાઉન્ટર એલિમેન્ટ્સ = { 127.0.0.1-127.0.0.4 . 0x123434-0xb00122 : સ્વીકારો, 192.168.0.10-192.168.1.20 . 0x0000aa00-0x0000aaff : સ્વીકારો, } } સાંકળ k { પ્રકાર ફિલ્ટર હૂક ઇનપુટ પ્રાયોરિટી ફિલ્ટર; નીતિમાં ઘટાડો; આઈપી સદ્દર. મેટા માર્ક vmap @w } }
• કાચા અભિવ્યક્તિઓનો ઉપયોગ કરતી વખતે દુર્લભ પ્રોટોકોલ્સની સુધારેલ સરખામણી, ઉદાહરણ તરીકે: meta l4proto 91 @th,400,16 0x0 સ્વીકારો
• સમયાંતરે નિયમોને સક્ષમ કરવાની સમસ્યાઓનું નિરાકરણ કરવામાં આવ્યું છે: નિયમ xy tcp સ્પોર્ટ { 3478-3497, 16384-16387 } કાઉન્ટર સ્વીકારો
• સમૂહ અને નકશા સૂચિમાં અભિવ્યક્તિઓ માટે સમર્થનને સમાવવા માટે JSON API માં સુધારો કરવામાં આવ્યો છે.
• nftables python લાઇબ્રેરીમાં એક્સ્ટેન્શન્સ માન્યતા મોડ ("-c") માં પ્રક્રિયા કરવા માટે નિયમ સેટ લોડ કરવાની મંજૂરી આપે છે અને ચલોની બાહ્ય વ્યાખ્યા માટે સમર્થન ઉમેરે છે.
• સમૂહ સૂચિ ઘટકોમાં ટિપ્પણીઓ ઉમેરવાની મંજૂરી છે.
• બાઈટ રેટ લિમિટ શૂન્ય મૂલ્યનો ઉલ્લેખ કરવાની મંજૂરી આપે છે.

સોર્સ: opennet.ru