nftables पैकेट फ़िल्टर 0.9.9 रिलीज़

IPv0.9.9, IPv4, ARP और नेटवर्क ब्रिज (iptables, ip6table, arptables और ebtables को बदलने के उद्देश्य से) के लिए पैकेट फ़िल्टरिंग इंटरफेस को एकीकृत करते हुए, पैकेट फ़िल्टर nftables 6 की रिलीज़ प्रकाशित की गई है। उसी समय, सहयोगी लाइब्रेरी libnftnl 1.2.0 की रिलीज़ प्रकाशित की गई, जो nf_tables सबसिस्टम के साथ इंटरैक्ट करने के लिए एक निम्न-स्तरीय एपीआई प्रदान करती है। nftables 0.9.9 रिलीज़ को काम करने के लिए आवश्यक परिवर्तन Linux कर्नेल 5.13-rc1 में शामिल हैं।

nftables पैकेज में पैकेट फ़िल्टर घटक शामिल होते हैं जो उपयोगकर्ता स्थान में चलते हैं, जबकि कर्नेल-स्तरीय कार्य nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो रिलीज़ 3.13 के बाद से लिनक्स कर्नेल का हिस्सा रहा है। कर्नेल स्तर केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान करता है जो पैकेट से डेटा निकालने, डेटा संचालन करने और प्रवाह नियंत्रण के लिए बुनियादी कार्य प्रदान करता है।

फ़िल्टरिंग नियम स्वयं और प्रोटोकॉल-विशिष्ट हैंडलर को उपयोगकर्ता-स्थान बायटेकोड में संकलित किया जाता है, जिसके बाद इस बायटेकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और बीपीएफ (बर्कले पैकेट फ़िल्टर) जैसी विशेष वर्चुअल मशीन में कर्नेल में निष्पादित किया जाता है। यह दृष्टिकोण कर्नेल स्तर पर चल रहे फ़िल्टरिंग कोड के आकार को महत्वपूर्ण रूप से कम करना और पार्सिंग नियमों के सभी कार्यों और प्रोटोकॉल के साथ काम करने के तर्क को उपयोगकर्ता स्थान में स्थानांतरित करना संभव बनाता है।

मुख्य नवाचार:

• फ्लोटेबल प्रोसेसिंग को नेटवर्क एडेप्टर साइड में ले जाने की क्षमता लागू की गई है, जिसे 'ऑफलोड' ध्वज का उपयोग करके सक्षम किया गया है। फ़्लोटेबल पैकेट पुनर्निर्देशन के पथ को अनुकूलित करने के लिए एक तंत्र है, जिसमें सभी नियम प्रसंस्करण श्रृंखलाओं का पूरा मार्ग केवल पहले पैकेट पर लागू होता है, और प्रवाह में अन्य सभी पैकेट सीधे अग्रेषित किए जाते हैं। टेबल आईपी ग्लोबल {फ्लोटेबल एफ {हुक इनग्रेस प्रायोरिटी फिल्टर + 1 डिवाइसेज = {लैन3, लैन0, वान} फ्लैग्स ऑफलोड} चेन फॉरवर्ड {टाइप फिल्टर हुक फॉरवर्ड प्रायोरिटी फिल्टर; नीति स्वीकार करें; आईपी ​​प्रोटोकॉल { टीसीपी, यूडीपी } फ्लो ऐड @एफ } चेन पोस्ट { टाइप नैट हुक पोस्टरूटिंग प्रायोरिटी फिल्टर; नीति स्वीकार करें; ओआईएफनाम "वान" बहाना } }
• किसी प्रक्रिया द्वारा तालिका का विशेष उपयोग सुनिश्चित करने के लिए किसी तालिका में स्वामी ध्वज संलग्न करने के लिए समर्थन जोड़ा गया। जब कोई प्रक्रिया समाप्त हो जाती है, तो उससे संबद्ध तालिका स्वचालित रूप से हटा दी जाती है। प्रक्रिया के बारे में जानकारी एक टिप्पणी के रूप में नियम डंप में प्रदर्शित की जाती है: तालिका आईपी एक्स { # प्रोग्नेम एनएफटी झंडे मालिक श्रृंखला वाई { प्रकार फ़िल्टर हुक इनपुट प्राथमिकता फ़िल्टर; नीति स्वीकार करें; काउंटर पैकेट 1 बाइट्स 309 } }
• IEEE 802.1ad विनिर्देशन (VLAN स्टैकिंग या QinQ) के लिए समर्थन जोड़ा गया, जो एक ही ईथरनेट फ्रेम में एकाधिक VLAN टैग को प्रतिस्थापित करने के साधन को परिभाषित करता है। उदाहरण के लिए, बाहरी ईथरनेट फ्रेम 8021ad और vlan id=342 के प्रकार की जांच करने के लिए, आप निर्माण का उपयोग कर सकते हैं ... ईथरनेट फ्रेम 802.1ad/vlan id=342 के बाहरी प्रकार की जांच करने के लिए ईथर प्रकार 8021ad vlan id=1, नेस्टेड 802.1 क्यू/वीएलएएन आईडी=2 और आगे आईपी पैकेट एनकैप्सुलेशन: ... ईथर प्रकार 8021एडी वीएलएएन आईडी 1 वीएलएएन प्रकार 8021क्यू वीएलएएन आईडी 2 वीएलएएन प्रकार आईपी काउंटर
• एकीकृत पदानुक्रम cgroups v2 का उपयोग करके संसाधनों के प्रबंधन के लिए समर्थन जोड़ा गया। Cgroups v2 और v1 के बीच मुख्य अंतर CPU संसाधनों को आवंटित करने, मेमोरी खपत को विनियमित करने और I/O के लिए अलग-अलग पदानुक्रमों के बजाय सभी प्रकार के संसाधनों के लिए एक सामान्य cgroups पदानुक्रम का उपयोग है। उदाहरण के लिए, यह जांचने के लिए कि प्रथम स्तर cgroupv2 पर सॉकेट का पूर्वज "system.slice" मास्क से मेल खाता है या नहीं, आप निर्माण का उपयोग कर सकते हैं: ... सॉकेट cgroupv2 लेवल 1 "system.slice"
• एससीटीपी पैकेट के घटकों की जांच करने की क्षमता जोड़ी गई (इसके लिए आवश्यक कार्यक्षमता लिनक्स कर्नेल 5.14 में दिखाई देगी)। उदाहरण के लिए, यह जांचने के लिए कि क्या किसी पैकेट में 'डेटा' प्रकार और फ़ील्ड 'प्रकार' वाला एक खंड है: ... एससीटीपी खंड डेटा मौजूद है ... एससीटीपी खंड डेटा प्रकार 0
• "-एफ" ध्वज का उपयोग करके नियम लोडिंग ऑपरेशन के निष्पादन को लगभग दो गुना तेज कर दिया गया है। नियमों की सूची का आउटपुट भी तेज कर दिया गया है।
• फ़्लैग बिट्स सेट हैं या नहीं इसकी जाँच के लिए एक कॉम्पैक्ट फॉर्म प्रदान किया गया है। उदाहरण के लिए, यह जांचने के लिए कि स्नैट और डीएनएट स्टेटस बिट सेट नहीं हैं, आप निर्दिष्ट कर सकते हैं: ... सीटी स्टेटस! snat,dnat यह जांचने के लिए कि सिन बिट बिटमास्क में सेट है या नहीं syn,ack: ... tcp झंडे syn / syn,ack यह जांचने के लिए कि फिन और आरएसटी बिट बिटमास्क में सेट नहीं हैं syn,ack,fin,rst: ... टीसीपी झंडे! = फिन, आरएसटी / सिन, एके, फिन, आरएसटी
• सेट/मैप प्रकार की परिभाषाओं में "निर्णय" कीवर्ड की अनुमति दें: मानचित्र xm { typeof iifname जोड़ें। आईपी ​​प्रोटोकॉल वां डीपोर्ट : फैसला ;}

स्रोत: opennet.ru