nftables પેકેટ ફિલ્ટર 1.0.7 રિલીઝ

nftables 1.0.7 પેકેટ ફિલ્ટર પ્રકાશન પ્રકાશિત કરવામાં આવ્યું છે, જે IPv4, IPv6, ARP અને નેટવર્ક બ્રિજ માટે પેકેટ ફિલ્ટરિંગ ઇન્ટરફેસને એકીકૃત કરે છે (iptables, ip6table, arptables અને ebtables ને બદલવાનો હેતુ). nftables પેકેજમાં પેકેટ ફિલ્ટર ઘટકોનો સમાવેશ થાય છે જે વપરાશકર્તા જગ્યામાં ચાલે છે, જ્યારે કર્નલ સ્તર nf_tables સબસિસ્ટમ દ્વારા પ્રદાન કરવામાં આવે છે, જે રિલીઝ 3.13 થી Linux કર્નલનો ભાગ છે. કર્નલ સ્તરે, માત્ર એક સામાન્ય પ્રોટોકોલ-સ્વતંત્ર ઇન્ટરફેસ પ્રદાન કરવામાં આવે છે જે પેકેટોમાંથી ડેટા કાઢવા, ડેટા પર કામગીરી કરવા અને પ્રવાહને નિયંત્રિત કરવા માટે મૂળભૂત કાર્યો પૂરા પાડે છે.

ફિલ્ટરિંગના નિયમો પોતે અને પ્રોટોકોલ-વિશિષ્ટ હેન્ડલર્સ યુઝર-સ્પેસ બાઇટકોડમાં કમ્પાઇલ કરવામાં આવે છે, જે પછી આ બાઇટકોડ નેટલિંક ઇન્ટરફેસનો ઉપયોગ કરીને કર્નલમાં લોડ કરવામાં આવે છે અને BPF (બર્કલે પેકેટ ફિલ્ટર્સ) જેવા વિશિષ્ટ વર્ચ્યુઅલ મશીનમાં કર્નલમાં ચલાવવામાં આવે છે. આ અભિગમ કર્નલ સ્તરે ચાલતા ફિલ્ટરિંગ કોડના કદને નોંધપાત્ર રીતે ઘટાડવાનું શક્ય બનાવે છે અને પાર્સિંગ નિયમોના તમામ કાર્યો અને પ્રોટોકોલ સાથે કામ કરવાના તર્કને વપરાશકર્તા જગ્યામાં ખસેડે છે.

મુખ્ય ફેરફારો:

• Linux 6.2+ સિસ્ટમો માટે, vxlan, geneve, gre, અને gretap પ્રોટોકોલ મેચિંગ માટે આધાર ઉમેરવામાં આવ્યો છે, જે સરળ સમીકરણોને એન્કેપ્સ્યુલેટેડ પેકેટોમાં હેડરોને તપાસવા માટે પરવાનગી આપે છે. ઉદાહરણ તરીકે, VxLAN ના નેસ્ટેડ પેકેટના હેડરમાં IP સરનામું તપાસવા માટે, તમે હવે નિયમોનો ઉપયોગ કરી શકો છો (પહેલા VxLAN હેડરને ડીનકેપ્સ્યુલેટ કરવાની અને ફિલ્ટરને vxlan0 ઇન્ટરફેસ સાથે જોડવાની જરૂર વગર): ... udp dport 4789 vxlan ip protocol udp ... udp dport 4789 vxlan ip saddr 1.2.3.0. 24/4789 ... udp dport 1.2.3.4 vxlan ip saddr . vxlan ip daddr { 4.3.2.1 . XNUMX}
• સેટ-સૂચિ તત્વના આંશિક કાઢી નાખ્યા પછી અવશેષોના સ્વચાલિત મર્જિંગ માટે અમલીકૃત સમર્થન, જે અસ્તિત્વમાંની શ્રેણીમાંથી કોઈ તત્વ અથવા શ્રેણીના ભાગને કાઢી નાખવાની મંજૂરી આપે છે (અગાઉ, શ્રેણી ફક્ત તેની સંપૂર્ણતામાં કાઢી શકાતી હતી). ઉદાહરણ તરીકે, 25-24 અને 30-40, 50, 24-26 અને 30-40 રેન્જવાળી સેટ સૂચિમાંથી તત્વ 50 દૂર કર્યા પછી સૂચિમાં રહેશે. કામ કરવા માટે સ્વતઃ-મર્જિંગ માટે જરૂરી સુધારાઓ કર્નલની 5.10+ સ્થિર શાખાઓના સુધારાત્મક પ્રકાશનમાં ઓફર કરવામાં આવશે. # nft સૂચિ નિયમો સેટ ટેબલ ip x { સેટ y { પ્રકારનો tcp dport ફ્લેગ્સ અંતરાલ સ્વતઃ-મર્જ તત્વો = { 24-30, 40-50 } } } # nft એલિમેન્ટ કાઢી નાખો ip xy { 25 } # nft સૂચિ નિયમો સેટ ટેબલ ip x { સેટ y { પ્રકારનો tcp dport ફ્લેગ્સ અંતરાલ ઓટો-મર્જ એલિમેન્ટ્સ = { 24, 26-30, 40-50 } }
• સરનામાં અનુવાદ (NAT) મેપિંગમાં સંપર્ક અને શ્રેણીનો ઉપયોગ કરવાની મંજૂરી આપો. ટેબલ ip nat { સાંકળ પ્રીરોટીંગ { ટાઈપ નેટ હૂક પ્રીરોટીંગ પ્રાયોરીટી dstnat; નીતિ સ્વીકારો; dnat to ip daddr. tcp ડીપોર્ટ મેપ { 10.1.1.136 . 80 : 1.1.2.69 . 1024, 10.1.1.10-10.1.1.20. 8888-8889 : 1.1.2.69 . 2048-2049 } સતત } }
• "છેલ્લી" અભિવ્યક્તિ માટે ઉમેરાયેલ સમર્થન, જે તમને નિયમ ઘટક અથવા સેટ સૂચિ ઘટકનો છેલ્લે ઉપયોગ કરવામાં આવ્યો હતો તે સમય શોધવા માટે પરવાનગી આપે છે. આ લક્ષણ Linux કર્નલ 5.14 થી આધારભૂત છે. ટેબલ ip x { સેટ y { ip daddr નો પ્રકાર . tcp dport સાઈઝ 65535 ફ્લેગ્સ ડાયનેમિક, ટાઈમઆઉટ લાસ્ટ ટાઈમઆઉટ 1h } ચેઈન z { પ્રકાર ફિલ્ટર હૂક આઉટપુટ પ્રાયોરિટી ફિલ્ટર; નીતિ સ્વીકારો; અપડેટ @y { ip daddr . tcp dport } } } # nft સૂચિ સેટ ip xy ટેબલ ip x { સેટ y { પ્રકારનો ip daddr . tcp dport સાઈઝ 65535 ફ્લેગ ડાયનેમિક, ટાઈમઆઉટ લાસ્ટ ટાઈમઆઉટ 1h એલિમેન્ટ્સ = { 172.217.17.14 . 443 છેલ્લે વપરાયેલ 1s591ms સમયસમાપ્તિ 1h સમાપ્ત થાય છે 59m58s409ms, 172.67.69.19. 443 છેલ્લે વપરાયેલ 4s636ms સમયસમાપ્તિ 1h સમાપ્ત થાય છે 59m55s364ms, 142.250.201.72 . 443 છેલ્લે વપરાયેલ 4s748ms સમયસમાપ્તિ 1h સમાપ્ત થાય છે 59m55s252ms, 172.67.70.134 . 443 છેલ્લે વપરાયેલ 4s688ms સમયસમાપ્તિ 1h સમાપ્ત થાય છે 59m55s312ms, 35.241.9.150 . 443 છેલ્લે વપરાયેલ 5s204ms સમયસમાપ્તિ 1h સમાપ્ત થાય છે 59m54s796ms, 138.201.122.174 . 443 છેલ્લે વપરાયેલ 4s537ms સમયસમાપ્તિ 1h સમાપ્ત થાય છે 59m55s463ms, 34.160.144.191 . 443 છેલ્લે વપરાયેલ 5s205ms સમયસમાપ્તિ 1h સમાપ્ત થાય છે 59m54s795ms, 130.211.23.194 . 443 છેલ્લે વપરાયેલ 4s436ms સમયસમાપ્તિ 1h 59m55s564ms સમાપ્ત થાય છે } }
• સેટ-સૂચિઓમાં ક્વોટા વ્યાખ્યાયિત કરવાની ક્ષમતા ઉમેરાઈ. ઉદાહરણ તરીકે, દરેક લક્ષ્ય IP સરનામાં માટે ટ્રાફિક ક્વોટાને વ્યાખ્યાયિત કરવા માટે, તમે સ્પષ્ટ કરી શકો છો: કોષ્ટક netdev x { set y { typeof ip daddr size 65535 ક્વોટા 10000 mbytes ઉપર } સાંકળ y { ટાઇપ ફિલ્ટર હૂક એગ્રેસ ઉપકરણ "eth0" પ્રાયોરિટી ફિલ્ટર; નીતિ સ્વીકારો; ip daddr @y ડ્રોપ } } # nft ઉમેરો એલિમેન્ટ inet xy { 8.8.8.8 } # ping -c 2 8.8.8.8 # nft સૂચિ રૂલ્સેટ ટેબલ નેટદેવ x { સેટ y { પ્રકાર ipv4_addr કદ 65535 ક્વોટા 10000 mbytes = 8.8.8.8 તત્વો પર. 10000 ક્વોટા 196 મેબાઇટથી વધુ વપરાયેલ 0 બાઇટ્સ } } ચેઇન y { ટાઇપ ફિલ્ટર હૂક ઇગ્રેસ ડિવાઇસ "ethXNUMX" પ્રાયોરિટી ફિલ્ટર; નીતિ સ્વીકારો; ip daddr @y ડ્રોપ } }
• સેટ-સૂચિઓમાં સ્થિરાંકોનો ઉપયોગ કરવાની મંજૂરી છે. ઉદાહરણ તરીકે, જ્યારે ગંતવ્ય સરનામાંની સૂચિ અને કી તરીકે VLAN ID નો ઉપયોગ કરો છો, ત્યારે તમે સીધા VLAN નંબરનો ઉલ્લેખ કરી શકો છો (daddr. 123): ટેબલ netdev t { set s { typeof ether saddr . vlan id સાઈઝ 2048 ફ્લેગ્સ ડાયનેમિક, ટાઈમઆઉટ ટાઈમઆઉટ 1m } ચેઈન c { પ્રકાર ફિલ્ટર હૂક ઈન્ગ્રેસ ઉપકરણ eth0 અગ્રતા 0; નીતિ સ્વીકારો; ઈથર પ્રકાર != 8021q અપડેટ @s { ઈથર ડેડર . 123 } કાઉન્ટર } }
• ઑબ્જેક્ટ્સને બિનશરતી રીતે કાઢી નાખવા માટે નવો "destroy" આદેશ ઉમેરવામાં આવ્યો છે (ડિલીટ કમાન્ડથી વિપરીત, તે ગુમ થયેલ ઑબ્જેક્ટને કાઢી નાખવાનો પ્રયાસ કરતી વખતે ENOENT જનરેટ કરતું નથી). કામ કરવા માટે ઓછામાં ઓછા Linux 6.3-rc કર્નલની જરૂર છે. ટેબલ આઈપી ફિલ્ટરનો નાશ કરો

સોર્સ: opennet.ru