nftables पैकेट फ़िल्टर 0.9.3 रिलीज़

प्रकाशित पैकेट फ़िल्टर रिलीज एनएफटेबल्स 0.9.3, IPv6, IPv4, ARP और नेटवर्क ब्रिज के लिए पैकेट फ़िल्टरिंग इंटरफेस को एकीकृत करके iptables, ip6table, arptables और ebtables के प्रतिस्थापन के रूप में विकसित करना। nftables पैकेज में पैकेट फ़िल्टर घटक शामिल होते हैं जो उपयोगकर्ता स्थान में चलते हैं, जबकि कर्नेल-स्तरीय कार्य nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो रिलीज़ 3.13 के बाद से लिनक्स कर्नेल का हिस्सा रहा है। nftables 0.9.3 रिलीज़ को काम करने के लिए आवश्यक परिवर्तन आगामी Linux 5.5 कर्नेल शाखा में शामिल किए गए हैं।

कर्नेल स्तर केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान करता है जो पैकेट से डेटा निकालने, डेटा संचालन करने और प्रवाह नियंत्रण के लिए बुनियादी कार्य प्रदान करता है। फ़िल्टरिंग लॉजिक और प्रोटोकॉल-विशिष्ट हैंडलर को उपयोगकर्ता स्थान में बाइटकोड में संकलित किया जाता है, जिसके बाद इस बाइटकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और बीपीएफ (बर्कले पैकेट फ़िल्टर) की याद दिलाने वाली एक विशेष वर्चुअल मशीन में निष्पादित किया जाता है। यह दृष्टिकोण आपको कर्नेल स्तर पर चल रहे फ़िल्टरिंग कोड के आकार को महत्वपूर्ण रूप से कम करने और प्रोटोकॉल के साथ काम करने के लिए पार्सिंग नियमों और तर्क के सभी कार्यों को उपयोगकर्ता स्थान में स्थानांतरित करने की अनुमति देता है।

मुख्य नवाचार:

• समय के अनुसार पैकेट मिलान के लिए समर्थन। आप समय और दिनांक सीमा दोनों को परिभाषित कर सकते हैं जिसमें नियम ट्रिगर किया जाएगा, और सप्ताह के अलग-अलग दिनों में ट्रिगरिंग को कॉन्फ़िगर कर सकते हैं। युगान्तर को सेकंडों में प्रदर्शित करने के लिए एक नया विकल्प "-T" भी ​​जोड़ा गया है।

  मेटा टाइम \"2019-12-24 16:00\" — \"2020-01-02 7:00\"
  मेटा घंटा \"17:00\" - "19:00\"
  मेटा दिवस "शुक्रवार"

• SELinux मार्क्स (सेकमार्क) को पुनर्प्राप्त करने और सहेजने के लिए समर्थन।

  सीटी सेकमार्क सेट मेटा सेकमार्क
  मेटा सेकमार्क सेट सीटी सेकमार्क

• सिनप्रॉक्सी मानचित्र सूचियों के लिए समर्थन, आपको प्रति बैकएंड एक से अधिक नियम परिभाषित करने की अनुमति देता है।

  टेबल आईपी फू {
  सिनप्रॉक्सी https-सिंप्रॉक्सी {
  एमएस 1460
  डब्ल्यूस्केल 7
  टाइमस्टैम्प बोरी-पर्म
  }

  सिनप्रॉक्सी अन्य-सिनप्रॉक्सी {
  एमएस 1460
  डब्ल्यूस्केल 5
  }

  चेन प्री {
  फ़िल्टर हुक प्रीरूटिंग प्राथमिकता कच्चा टाइप करें; नीति स्वीकार करें;
  टीसीपी डीपोर्ट 8888 टीसीपी फ़्लैग्स सिन नॉट्रैक
  }

  चेन बार {
  टाइप फ़िल्टर हुक फॉरवर्ड प्राथमिकता फ़िल्टर; नीति स्वीकार करें;
  सीटी स्थिति अमान्य, ट्रैक न किया गया सिंप्रॉक्सी नाम आईपी सैडर मैप { 192.168.1.0/24 : “https-synproxy”, 192.168.2.0/24 : “अन्य-सिनप्रॉक्सी” }
  }
  }

• पैकेट प्रसंस्करण नियमों से सेट तत्वों को गतिशील रूप से हटाने की क्षमता।

  एनएफटी नियम जोड़ें...@set5 हटाएं {आईपी6 सैडर। आईपी6 दादर}

• नेटवर्क ब्रिज इंटरफ़ेस मेटाडेटा में परिभाषित आईडी और प्रोटोकॉल द्वारा वीएलएएन मैपिंग के लिए समर्थन;

  मेटा आईबीआरपीवीआईडी ​​100
  मेटा आईबीआरवीप्रोटो वीएलएएन

• नियम प्रदर्शित करते समय सेट सेट के तत्वों को बाहर करने के लिए विकल्प "-t" ("--terse")। "nft -t सूची नियमसेट" चलाने से आउटपुट मिलेगा:

  टेबल आईपी एक्स {
  सेट य {
  ipv4_addr टाइप करें
  }
  }

  और “एनएफटी सूची नियम सेट” के साथ

  टेबल आईपी एक्स {
  सेट य {
  ipv4_addr टाइप करें
  तत्व = {192.168.10.2, 192.168.20.1,
  192.168.4.4, 192.168.2.34 }
  }
  }

• सामान्य फ़िल्टरिंग नियमों को संयोजित करने के लिए नेटदेव श्रृंखलाओं में एक से अधिक डिवाइस निर्दिष्ट करने की क्षमता (केवल कर्नेल 5.5 के साथ काम करती है)।

  तालिका नेटदेव x जोड़ें
  श्रृंखला जोड़ें नेटडेव xy { \
  टाइप फ़िल्टर हुक इनग्रेस डिवाइस = { eth0, eth1 } प्राथमिकता 0;
  }

• डेटा प्रकारों का विवरण जोड़ने की क्षमता.

  # nft ipv4_addr का वर्णन करता है
  डेटाटाइप ipv4_addr (IPv4 पता) (बेसटाइप पूर्णांक), 32 बिट्स

• लिब्रेडलाइन के बजाय लाइननोइज़ लाइब्रेरी के साथ सीएलआई इंटरफ़ेस बनाने की क्षमता।

  ./configure --with-cli=linenoise

स्रोत: opennet.ru