nftables पैकेट फ़िल्टर 0.9.5 रिलीज़

प्रकाशित पैकेट फ़िल्टर रिलीज एनएफटेबल्स 0.9.5, IPv6, IPv4, ARP और नेटवर्क ब्रिज के लिए पैकेट फ़िल्टरिंग इंटरफेस को एकीकृत करके iptables, ip6table, arptables और ebtables के प्रतिस्थापन के रूप में विकसित करना। nftables पैकेज में उपयोगकर्ता-स्पेस पैकेट फ़िल्टर घटक शामिल हैं, जबकि कर्नेल-स्तरीय कार्य nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो रिलीज़ 3.13 के बाद से लिनक्स कर्नेल का हिस्सा रहा है। nftables 0.9.5 रिलीज़ को कार्य करने के लिए आवश्यक परिवर्तन कर्नेल में शामिल किए गए हैं लिनक्स 5.7.

कर्नेल स्तर केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान करता है जो पैकेट से डेटा निकालने, डेटा संचालन करने और प्रवाह नियंत्रण के लिए बुनियादी कार्य प्रदान करता है। फ़िल्टरिंग नियम और प्रोटोकॉल-विशिष्ट हैंडलर को उपयोगकर्ता स्थान में बाइटकोड में संकलित किया जाता है, जिसके बाद इस बाइटकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और बीपीएफ (बर्कले पैकेट फ़िल्टर) की याद दिलाने वाली एक विशेष वर्चुअल मशीन में कर्नेल में निष्पादित किया जाता है। यह दृष्टिकोण आपको कर्नेल स्तर पर चल रहे फ़िल्टरिंग कोड के आकार को महत्वपूर्ण रूप से कम करने और प्रोटोकॉल के साथ काम करने के लिए पार्सिंग नियमों और तर्क के सभी कार्यों को उपयोगकर्ता स्थान में स्थानांतरित करने की अनुमति देता है।

मुख्य नवाचार:

• सेट तत्वों से जुड़े पैकेट और ट्रैफ़िक काउंटरों के लिए समर्थन सेट में जोड़ा गया है। काउंटरों को "काउंटर" कीवर्ड का उपयोग करके सक्षम किया जाता है:

  टेबल आईपी एक्स {
  सेट य {
  आईपी ​​​​सदर का प्रकार
  का मुकाबला
  तत्व = {192.168.10.35, 192.168.10.101, 192.168.10.135 }
  }

  चेन जेड {
  फ़िल्टर हुक आउटपुट प्राथमिकता फ़िल्टर टाइप करें; नीति स्वीकार करें;
  आईपी ​​​​डैडर @y
  }
  }

• काउंटरों के प्रारंभिक मान सेट करने के लिए, उदाहरण के लिए, पुनरारंभ के बाद पिछले काउंटरों को पुनर्स्थापित करने के लिए, आप "nft -f" कमांड का उपयोग कर सकते हैं:

  # कैट रूल्ससेट.एनएफटी
  टेबल आईपी एक्स {
  सेट य {
  आईपी ​​​​सदर का प्रकार
  का मुकाबला
  तत्व = {192.168.10.35 काउंटर पैकेट 1 बाइट्स 84, 192.168.10.101 \
  काउंटर पी 192.168.10.135 काउंटर पैकेट 0 बाइट्स 0 }
  }

  चेन जेड {
  फ़िल्टर हुक आउटपुट प्राथमिकता फ़िल्टर टाइप करें; नीति स्वीकार करें;
  आईपी ​​​​डैडर @y
  }
  }
  # एनएफटी -एफ नियमसेट.एनएफटी
  #nft सूची नियम सेट
  टेबल आईपी एक्स {
  सेट य {
  आईपी ​​​​सदर का प्रकार
  का मुकाबला
  तत्व = {192.168.10.35 काउंटर पैकेट 1 बाइट्स 84, 192.168.10.101 \
  काउंटर पी 192.168.10.135 काउंटर पैकेट 0 बाइट्स 0 }
  }

  चेन जेड {
  फ़िल्टर हुक आउटपुट प्राथमिकता फ़िल्टर टाइप करें; नीति स्वीकार करें;
  आईपी ​​​​डैडर @y
  }
  }

• फ़्लोटेबल में काउंटर समर्थन भी जोड़ा गया है:

  टेबल आईपी फू {
  फ्लोटेबल बार {
  हुक प्रवेश प्राथमिकता -100
  डिवाइस = { eth0, eth1 }
  का मुकाबला
  }

  चेन फॉरवर्ड {
  टाइप फ़िल्टर हुक फॉरवर्ड प्राथमिकता फ़िल्टर;
  प्रवाह @बार काउंटर जोड़ें
  }
  }

  आप "conntrack -L" कमांड का उपयोग करके काउंटरों की सूची देख सकते हैं:

  टीसीपी 6 src=192.168.10.2 dst=10.0.1.2 स्पोर्ट=47278 dport=5201 पैकेट=9 बाइट्स=608 \
  src=10.0.1.2 dst=10.0.1.1 स्पोर्ट=5201 dport=47278 पैकेट=8 बाइट्स=428 [ऑफ़लोड] मार्क=0 \
  secctx=शून्य उपयोग=2 टीसीपी 6 src=192.168.10.2 डीएसटी=10.0.1.2 स्पोर्ट=47280 डीपोर्ट=5201 \
  पैकेट=1005763 बाइट्स=44075714753 src=10.0.1.2 dst=10.0.1.1 स्पोर्ट=5201 dport=47280 \
  पैकेट=967505 बाइट्स=50310268 [ऑफलोड] मार्क=0 secctx=शून्य उपयोग=2

• संयोजन के लिए सेट में (संयोजन, पतों और बंदरगाहों के कुछ बंडल जो तुलना को सरल बनाते हैं), "टाइपऑफ़" निर्देश का उपयोग करना संभव है, जो सेट के तत्वों के घटक भागों के लिए तत्वों के डेटा प्रकार को निर्धारित करता है:

  टेबल आईपी फू {
  श्वेतसूची सेट करें {
  आईपी ​​​​सदर का प्रकार। टीसीपी डीपोर्ट
  तत्व = { 192.168.10.35 . 80, 192.168.10.101. 80}
  }

  चेन बार {
  फ़िल्टर हुक प्रीरूटिंग प्राथमिकता फ़िल्टर टाइप करें; नीति में गिरावट;
  आईपी ​​डैड्र. टीसीपी डीपोर्ट @व्हाइटलिस्ट स्वीकार करें
  }
  }

• टाइपऑफ़ निर्देश अब मानचित्र सूचियों में शामिल होने पर भी लागू होता है:

  टेबल आईपी फू {
  मानचित्र addr2mark {
  आईपी ​​​​सदर का प्रकार। टीसीपी डीपोर्ट: मेटा मार्क
  तत्व = { 192.168.10.35 . 80 : 0x00000001,
  192.168.10.135. 80 : 0x00000002 }
  }

  चेन बार {
  फ़िल्टर हुक प्रीरूटिंग प्राथमिकता फ़िल्टर टाइप करें; नीति में गिरावट;
  मेटा मार्क सेट आईपी डैड्र। टीसीपी डीपोर्ट मानचित्र @addr2mark स्वीकार करें
  }
  }

• अनाम (अनाम) सेटों में रेंज जॉइन के लिए समर्थन जोड़ा गया:

  # एनएफटी नियम जोड़ें आईनेट फिल्टर इनपुट आईपी डैडर। टीसीपी डीपोर्ट\
  { 10.0.0.0/8 . 10-23, 192.168.1.1-192.168.3.8. 80-443 } स्वीकार करें

• नेटवर्क ब्रिज को संसाधित करते समय 802.1q (VLAN) फ़्लैग वाले पैकेट को त्यागने की क्षमता प्रदान की जाती है:

  # एनएफटी टीसीपी रीसेट के साथ नियम ब्रिज फू बार ईथर प्रकार वीएलएएन अस्वीकार जोड़ें

• टीसीपी सत्र पहचानकर्ता (कनट्रैक आईडी) द्वारा मिलान के लिए समर्थन जोड़ा गया। कॉनट्रैक आईडी निर्धारित करने के लिए, आप "--आउटपुट आईडी" विकल्प का उपयोग कर सकते हैं:

  # कॉनट्रैक -एल-आउटपुट आईडी
  यूडीपी 17 18 src=192.168.2.118 dst=192.168.2.1 स्पोर्ट=36424 dport=53 पैकेट=2 \
  बाइट्स=122 src=192.168.2.1 dst=192.168.2.118 स्पोर्ट=53 dport=36424 पैकेट=2 बाइट्स=320 \
  [आश्वासन दिया गया] मार्क=0 उपयोग=1 आईडी=2779986232

  # एनएफटी नियम जोड़ें फू बार सीटी आईडी 2779986232 काउंटर

स्रोत: opennet.ru