nftables पैकेट फ़िल्टर 0.9.1 रिलीज़

एक साल के विकास के बाद प्रस्तुत पैकेट फ़िल्टर रिलीज एनएफटेबल्स 0.9.1, IPv6, IPv4, ARP और नेटवर्क ब्रिज के लिए पैकेट फ़िल्टरिंग इंटरफेस को एकीकृत करके iptables, ip6table, arptables और ebtables के प्रतिस्थापन के रूप में विकसित करना। nftables पैकेज में पैकेट फ़िल्टर घटक शामिल होते हैं जो उपयोगकर्ता स्थान में चलते हैं, जबकि कर्नेल-स्तरीय कार्य nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो रिलीज़ 3.13 के बाद से लिनक्स कर्नेल का हिस्सा रहा है।

कर्नेल स्तर केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान करता है जो पैकेट से डेटा निकालने, डेटा संचालन करने और प्रवाह नियंत्रण के लिए बुनियादी कार्य प्रदान करता है।
फ़िल्टरिंग लॉजिक और प्रोटोकॉल-विशिष्ट हैंडलर को उपयोगकर्ता स्थान में बाइटकोड में संकलित किया जाता है, जिसके बाद इस बाइटकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और बीपीएफ (बर्कले पैकेट फ़िल्टर) की याद दिलाने वाली एक विशेष वर्चुअल मशीन में निष्पादित किया जाता है। यह दृष्टिकोण आपको कर्नेल स्तर पर चल रहे फ़िल्टरिंग कोड के आकार को महत्वपूर्ण रूप से कम करने और प्रोटोकॉल के साथ काम करने के लिए पार्सिंग नियमों और तर्क के सभी कार्यों को उपयोगकर्ता स्थान में स्थानांतरित करने की अनुमति देता है।

मुख्य नवाचार:

• IPsec समर्थन, पैकेट, IPsec अनुरोध आईडी और SPI (सुरक्षा पैरामीटर इंडेक्स) टैग के आधार पर सुरंग पते के मिलान की अनुमति देता है। उदाहरण के लिए,

  ...आईपीएसईसी आईपी एसडीआर 192.168.1.0/24 में
  ...आईपीएसईसी एसपीआई 1-65536 में

  यह जांचना भी संभव है कि कोई मार्ग IPsec सुरंग से होकर गुजरता है या नहीं। उदाहरण के लिए, ट्रैफ़िक को IPSec के माध्यम से अवरुद्ध करने के लिए:

  ... फ़िल्टर आउटपुट आरटी आईपीएससी गायब ड्रॉप

• आईजीएमपी (इंटरनेट समूह प्रबंधन प्रोटोकॉल) के लिए समर्थन। उदाहरण के लिए, आप आने वाले आईजीएमपी समूह सदस्यता अनुरोधों को खारिज करने के लिए एक नियम का उपयोग कर सकते हैं

  एनएफटी नियम जोड़ें नेटदेव फू बार आईजीएमपी प्रकार सदस्यता-क्वेरी काउंटर ड्रॉप

• संक्रमण श्रृंखलाओं (कूद/गोटो) को परिभाषित करने के लिए चर का उपयोग करने की संभावना। उदाहरण के लिए:

  नियति = बेर को परिभाषित करें
  नियम आईपी फू बार जम्प $dest जोड़ें

• हेडर में टीटीएल मूल्यों के आधार पर ऑपरेटिंग सिस्टम (ओएस फ़िंगरप्रिंट) की पहचान करने के लिए मास्क का समर्थन। उदाहरण के लिए, प्रेषक ओएस के आधार पर पैकेट को चिह्नित करने के लिए, आप कमांड का उपयोग कर सकते हैं:

  ... मेटा मार्क सेट ओएसएफ टीटीएल स्किप नेम मैप { "लिनक्स" : 0x1,
  "विंडोज़": 0x2,
  "मैकओएस": 0x3,
  "अज्ञात" : 0x0 }
  ...ओएसएफ टीटीएल स्किप संस्करण "लिनक्स:4.20"

• प्रेषक के ARP पते और लक्ष्य प्रणाली के IPv4 पते का मिलान करने की क्षमता। उदाहरण के लिए, पते 192.168.2.1 से भेजे गए ARP पैकेट के काउंटर को बढ़ाने के लिए, आप निम्नलिखित नियम का उपयोग कर सकते हैं:

  टेबल एआरपी एक्स {
  श्रृंखला य {
  फ़िल्टर हुक इनपुट प्राथमिकता फ़िल्टर टाइप करें; नीति स्वीकार करें;
  एआरपी सैड्र आईपी 192.168.2.1 काउंटर पैकेट 1 बाइट्स 46
  }
  }

• प्रॉक्सी (tproxy) के माध्यम से अनुरोधों को पारदर्शी रूप से अग्रेषित करने के लिए समर्थन। उदाहरण के लिए, पोर्ट 80 पर कॉल को प्रॉक्सी पोर्ट 8080 पर रीडायरेक्ट करने के लिए:

  टेबल आईपी एक्स {
  श्रृंखला य {
  टाइप फ़िल्टर हुक प्रीरूटिंग प्राथमिकता -150; नीति स्वीकार करें;
  टीसीपी डीपोर्ट 80 टीप्रॉक्सी से :8080
  }
  }

• SO_MARK मोड में setockopt() के माध्यम से सेट मार्क को आगे प्राप्त करने की क्षमता के साथ सॉकेट को चिह्नित करने के लिए समर्थन। उदाहरण के लिए:

  तालिका inet x {
  श्रृंखला य {
  टाइप फ़िल्टर हुक प्रीरूटिंग प्राथमिकता -150; नीति स्वीकार करें;
  टीसीपी डीपोर्ट 8080 मार्क सेट सॉकेट मार्क
  }
  }

• श्रृंखलाओं के लिए प्राथमिकता पाठ नाम निर्दिष्ट करने के लिए समर्थन। उदाहरण के लिए:

  एनएफटी ऐड चेन आईपी एक्स रॉ {टाइप फिल्टर हुक प्रीरूटिंग प्राथमिकता रॉ; }
  एनएफटी ऐड चेन आईपी एक्स फिल्टर {टाइप फिल्टर हुक प्रीरूटिंग प्राथमिकता फिल्टर; }
  एनएफटी ऐड चेन आईपी एक्स फिल्टर_लेटर { टाइप फिल्टर हुक प्रीरूटिंग प्राथमिकता फिल्टर + 10; }

• SELinux टैग (सेकमार्क) के लिए समर्थन। उदाहरण के लिए, SELinux संदर्भ में "sshtag" टैग को परिभाषित करने के लिए, आप चला सकते हैं:

  nft में secmark inet फ़िल्टर sshtag जोड़ें "system_u:object_r:ssh_server_packet_t:s0"

  और फिर नियमों में इस लेबल का उपयोग करें:

  एनएफटी नियम जोड़ें आईनेट फ़िल्टर इनपुट टीसीपी डीपोर्ट 22 मेटा सेकमार्क सेट "एसएसएचटीएजी"

  nft मैप जोड़ें inet फ़िल्टर secmapping { प्रकार inet_service : secmark; }
  nft तत्व जोड़ें inet फ़िल्टर secmapping { 22 : "sshtag" }
  एनएफटी नियम जोड़ें इनेट फिल्टर इनपुट मेटा सेकमार्क सेट टीसीपी डीपोर्ट मैप @सेकमैपिंग

• प्रोटोकॉल को निर्दिष्ट पोर्ट को टेक्स्ट रूप में निर्दिष्ट करने की क्षमता, जैसा कि उन्हें /etc/services फ़ाइल में परिभाषित किया गया है। उदाहरण के लिए:

  एनएफटी नियम जोड़ें xy टीसीपी डीपोर्ट "एसएसएच"
  एनएफटी सूची नियम-एल
  तालिका x {
  श्रृंखला य {
  ...
  टीसीपी डीपोर्ट "एसएसएच"
  }
  }

• नेटवर्क इंटरफ़ेस के प्रकार की जाँच करने की क्षमता। उदाहरण के लिए:

  नियम जोड़ें inet रॉ प्रीरूटिंग मेटा iifkind "vrf" स्वीकार करें

• "गतिशील" ध्वज को स्पष्ट रूप से निर्दिष्ट करके सेट की सामग्री को गतिशील रूप से अद्यतन करने के लिए बेहतर समर्थन। उदाहरण के लिए, स्रोत पता जोड़ने के लिए सेट "एस" को अपडेट करना और यदि 30 सेकंड के लिए कोई पैकेट नहीं है तो प्रविष्टि को रीसेट करना:

  तालिका x जोड़ें
  सेट xs जोड़ें { प्रकार ipv4_addr; आकार 128; टाइमआउट 30s; झंडे गतिशील; }
  श्रृंखला जोड़ें xy { प्रकार फ़िल्टर हुक इनपुट प्राथमिकता 0; }
  नियम जोड़ें xy अपडेट @s { ip saddr }

• एक अलग टाइमआउट शर्त निर्धारित करने की क्षमता। उदाहरण के लिए, पोर्ट 8888 पर आने वाले पैकेटों के लिए डिफ़ॉल्ट टाइमआउट को ओवरराइड करने के लिए, आप निर्दिष्ट कर सकते हैं:

  टेबल आईपी फ़िल्टर {
  सीटी टाइमआउट आक्रामक-टीसीपी {
  प्रोटोकॉल टीसीपी;
  एल3प्रोटो आईपी;
  नीति = {स्थापित: 100, क्लोज़_वेट: 4, क्लोज़: 4}
  }
  चेन आउटपुट {
  ...
  टीसीपी डीपोर्ट 8888 सीटी टाइमआउट सेट "आक्रामक-टीसीपी"
  }
  }

• इनसेट परिवार के लिए NAT समर्थन:

  टेबल इनैट नेट {
  ...
  आईपी6 डैड्र डेड::2::1 डीएनएट से डेड:2::99
  }

• बेहतर टाइपो त्रुटि रिपोर्टिंग:

  एनएफटी ऐड चेन फिल्टर टेस्ट

  त्रुटि: ऐसी कोई फ़ाइल या निर्देशिका नहीं; क्या आपका मतलब पारिवारिक आईपी में टेबल "फ़िल्टर" से था?
  चेन फ़िल्टर परीक्षण जोड़ें
  ^^^^^^

• सेट में इंटरफ़ेस नाम निर्दिष्ट करने की क्षमता:

  एससी सेट करें {
  inet_service टाइप करें। ifname
  तत्व = { "एसएसएच"। "eth0" }
  }

• अद्यतन प्रवाह योग्य नियम सिंटैक्स:

  nft तालिका x जोड़ें
  एनएफटी फ्लोटेबल एक्स फीट जोड़ें { हुक प्रवेश प्राथमिकता 0; डिवाइस = { eth0, wlan0 }; }
  ...
  एनएफटी नियम जोड़ें एक्स फॉरवर्ड आईपी प्रोटोकॉल { टीसीपी, यूडीपी } प्रवाह @ फीट जोड़ें

• बेहतर JSON समर्थन.

स्रोत: opennet.ru