nftables पैकेट फ़िल्टर 0.9.4 रिलीज़

प्रकाशित पैकेट फ़िल्टर रिलीज एनएफटेबल्स 0.9.4, IPv6, IPv4, ARP और नेटवर्क ब्रिज के लिए पैकेट फ़िल्टरिंग इंटरफेस को एकीकृत करके iptables, ip6table, arptables और ebtables के प्रतिस्थापन के रूप में विकसित करना। nftables पैकेज में पैकेट फ़िल्टर घटक शामिल होते हैं जो उपयोगकर्ता स्थान में चलते हैं, जबकि कर्नेल-स्तरीय कार्य nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो रिलीज़ 3.13 के बाद से लिनक्स कर्नेल का हिस्सा रहा है। nftables 0.9.4 रिलीज़ को कार्य करने के लिए आवश्यक परिवर्तन भविष्य की कर्नेल शाखा में शामिल किए गए हैं लिनक्स 5.6.

कर्नेल स्तर केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान करता है जो पैकेट से डेटा निकालने, डेटा संचालन करने और प्रवाह नियंत्रण के लिए बुनियादी कार्य प्रदान करता है। फ़िल्टरिंग नियम और प्रोटोकॉल-विशिष्ट हैंडलर को उपयोगकर्ता स्थान में बाइटकोड में संकलित किया जाता है, जिसके बाद इस बाइटकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और बीपीएफ (बर्कले पैकेट फ़िल्टर) की याद दिलाने वाली एक विशेष वर्चुअल मशीन में कर्नेल में निष्पादित किया जाता है। यह दृष्टिकोण आपको कर्नेल स्तर पर चल रहे फ़िल्टरिंग कोड के आकार को महत्वपूर्ण रूप से कम करने और प्रोटोकॉल के साथ काम करने के लिए पार्सिंग नियमों और तर्क के सभी कार्यों को उपयोगकर्ता स्थान में स्थानांतरित करने की अनुमति देता है।

मुख्य नवाचार:

• कनेक्शन में श्रेणियों के लिए समर्थन (संयोजन, पते और पोर्ट के कुछ बंडल जो तुलना को सरल बनाते हैं)। उदाहरण के लिए, एक सेट "श्वेतसूची" के लिए जिसके तत्व एक अनुलग्नक हैं, "अंतराल" ध्वज निर्दिष्ट करने से संकेत मिलेगा कि सेट अनुलग्नक में श्रेणियां शामिल कर सकता है (अनुलग्नक "ipv4_addr . ipv4_addr . inet_service" के लिए पहले सटीक सूची बनाना संभव था "192.168.10.35. 192.68.11.123" फॉर्म के मिलान, और अब आप पतों के समूह "80-192.168.10.35-192.168.10.40") निर्दिष्ट कर सकते हैं:

  टेबल आईपी फू {
  श्वेतसूची सेट करें {
  ipv4_addr टाइप करें। ipv4_addr. inet_service
  झंडे अंतराल
  तत्व = {192.168.10.35-192.168.10.40। 192.68.11.123-192.168.11.125. 80}
  }

  चेन बार {
  फ़िल्टर हुक प्रीरूटिंग प्राथमिकता फ़िल्टर टाइप करें; नीति में गिरावट;
  आईपी ​​​​सदर. आईपी ​​डैड्र. टीसीपी डीपोर्ट @व्हाइटलिस्ट स्वीकार करें
  }
  }

• सेट और मानचित्र सूचियों में, "टाइपऑफ़" निर्देश का उपयोग करना संभव है, जो मिलान करते समय तत्व का प्रारूप निर्धारित करता है।
  उदाहरण के लिए:

  टेबल आईपी फू {
  श्वेतसूची सेट करें {
  आईपी ​​​​सदर का प्रकार
  तत्व = {192.168.10.35, 192.168.10.101, 192.168.10.135 }
  }

  चेन बार {
  फ़िल्टर हुक प्रीरूटिंग प्राथमिकता फ़िल्टर टाइप करें; नीति में गिरावट;
  आईपी ​​​​डैडर @व्हाइटलिस्ट स्वीकार करें
  }
  }

  टेबल आईपी फू {
  मानचित्र addr2mark {
  आईपी ​​सद्र का प्रकार: मेटा मार्क
  तत्व = {192.168.10.35 : 0x00000001, 192.168.10.135 : 0x00000002 }
  }
  }

• NAT बाइंडिंग में जॉइन्स का उपयोग करने की क्षमता जोड़ी गई, जो आपको मानचित्र सूचियों या नामित सेटों के आधार पर NAT परिवर्तनों को परिभाषित करते समय एक पता और पोर्ट निर्दिष्ट करने की अनुमति देता है:

  एनएफटी नियम आईपी एनएटी प्री डीएनएटी आईपी एडीआर जोड़ें। पोर्ट टू आईपी सैड्र मैप { 1.1.1.1 : 2.2.2.2 . तीस }

  एनएफटी मानचित्र आईपी नेट गंतव्य जोड़ें { ipv4_addr टाइप करें। inet_service: ipv4_addr. inet_service \\; }
  एनएफटी नियम आईपी एनएटी प्री डीएनएटी आईपी एडीआर जोड़ें। आईपी ​​​​सदर पर पोर्ट करें। टीसीपी डीपोर्ट मानचित्र @गंतव्य

• नेटवर्क कार्ड द्वारा किए गए कुछ फ़िल्टरिंग कार्यों के साथ हार्डवेयर त्वरण के लिए समर्थन। एक्सेलेरेशन को एथटूल उपयोगिता ("एथटूल -के एथ0 एचडब्ल्यू-टीसी-ऑफलोड ऑन") के माध्यम से सक्षम किया जाता है, जिसके बाद इसे "ऑफलोड" ध्वज का उपयोग करके मुख्य श्रृंखला के लिए एनएफटीएबल्स में सक्रिय किया जाता है। लिनक्स कर्नेल 5.6 का उपयोग करते समय, हेडर फ़ील्ड मिलान और आने वाले इंटरफ़ेस निरीक्षण के लिए हार्डवेयर त्वरण को प्राप्त करने, त्यागने, डुप्लिकेटिंग (डुप), और अग्रेषित (एफडब्ल्यूडी) पैकेट के साथ संयोजन में समर्थित किया जाता है। नीचे दिए गए उदाहरण में, पते 192.168.30.20 से आने वाले पैकेटों को छोड़ने का संचालन नेटवर्क कार्ड स्तर पर किया जाता है, पैकेटों को कर्नेल में पास किए बिना:

  # कैट फाइल.एनएफटी
  तालिका नेटदेव x {
  श्रृंखला य {
  टाइप फ़िल्टर हुक इनग्रेस डिवाइस eth0 प्राथमिकता 10; झंडे उतारना;
  आईपी ​​​​सदर 192.168.30.20 ड्रॉप
  }
  }
  # एनएफटी -एफ फ़ाइल.एनएफटी

• नियमों में त्रुटि के स्थान के बारे में बेहतर जानकारी।

  # एनएफटी डिलीट रूल आईपी वाईजेड हैंडल 7
  त्रुटि: नियम संसाधित नहीं किया जा सका: ऐसी कोई फ़ाइल या निर्देशिका नहीं
  नियम आईपी वाईजेड हैंडल 7 हटाएं
  ^

  # एनएफटी डिलीट रूल आईपी एक्सएक्स हैंडल 7
  त्रुटि: नियम संसाधित नहीं किया जा सका: ऐसी कोई फ़ाइल या निर्देशिका नहीं
  नियम आईपी एक्सएक्स हैंडल 7 हटाएं
  ^

  # nft डिलीट टेबल ट्विस्ट
  त्रुटि: ऐसी कोई फ़ाइल या निर्देशिका नहीं; क्या आपका मतलब पारिवारिक आईपी में टेबल 'टेस्ट' से था?
  तालिका घुमाएँ हटाएँ
  ^^^^

  पहला उदाहरण दिखाता है कि तालिका "y" सिस्टम में नहीं है, दूसरा यह कि "7" हैंडलर गायब है, और तीसरा यह कि तालिका का नाम टाइप करते समय एक टाइपो प्रॉम्प्ट प्रदर्शित होता है।

• "मेटा एसडीआईएफ" या "मेटा एसडीआईएफनाम" निर्दिष्ट करके स्लेव इंटरफ़ेस की जाँच के लिए समर्थन जोड़ा गया:

  ... मेटा sdifname vrf1 ...

• दाएँ या बाएँ शिफ्ट संचालन के लिए समर्थन जोड़ा गया। उदाहरण के लिए, किसी मौजूदा पैकेट लेबल को 1 बिट द्वारा छोड़े जाने और छोटे बिट को 1 पर सेट करने के लिए:

  ... मेटा मार्क सेट मेटा मार्क lshift 1 या 0x1 ...

• विस्तारित संस्करण जानकारी प्रदर्शित करने के लिए "-V" विकल्प लागू किया गया।

  # एनएफटी -वी
  nftables v0.9.4 (पांच पर जिव)
  सीएलआई:रीडलाइन
  जेसन: हाँ
  मिनीगम्प: नहीं
  libxtables: हाँ

• कमांड लाइन विकल्प अब कमांड से पहले निर्दिष्ट किए जाने चाहिए। उदाहरण के लिए, आपको "एनएफटी-ए सूची नियमसेट" निर्दिष्ट करने की आवश्यकता है, और "एनएफटी सूची नियमसेट-ए" चलाने से एक त्रुटि होगी।

  स्रोत: opennet.ru