nftables पैकेट फ़िल्टर 1.0.0 रिलीज़

IPv1.0.0, IPv4, ARP और नेटवर्क ब्रिज (iptables, ip6table, arptables और ebtables को बदलने के उद्देश्य से) के लिए पैकेट फ़िल्टरिंग इंटरफेस को एकीकृत करते हुए, पैकेट फ़िल्टर nftables 6 की रिलीज़ प्रकाशित की गई है। nftables 1.0.0 रिलीज़ के काम करने के लिए आवश्यक परिवर्तन Linux 5.13 कर्नेल में शामिल हैं। संस्करण संख्या में एक महत्वपूर्ण परिवर्तन किसी भी मूलभूत परिवर्तन से जुड़ा नहीं है, बल्कि दशमलव अंकन में क्रमांकन की लगातार निरंतरता का परिणाम है (पिछली रिलीज 0.9.9 थी)।

nftables पैकेज में पैकेट फ़िल्टर घटक शामिल होते हैं जो उपयोगकर्ता स्थान में चलते हैं, जबकि कर्नेल-स्तरीय कार्य nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो रिलीज़ 3.13 के बाद से लिनक्स कर्नेल का हिस्सा रहा है। कर्नेल स्तर केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान करता है जो पैकेट से डेटा निकालने, डेटा संचालन करने और प्रवाह नियंत्रण के लिए बुनियादी कार्य प्रदान करता है।

फ़िल्टरिंग नियम स्वयं और प्रोटोकॉल-विशिष्ट हैंडलर को उपयोगकर्ता-स्थान बायटेकोड में संकलित किया जाता है, जिसके बाद इस बायटेकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और बीपीएफ (बर्कले पैकेट फ़िल्टर) जैसी विशेष वर्चुअल मशीन में कर्नेल में निष्पादित किया जाता है। यह दृष्टिकोण कर्नेल स्तर पर चल रहे फ़िल्टरिंग कोड के आकार को महत्वपूर्ण रूप से कम करना और पार्सिंग नियमों के सभी कार्यों और प्रोटोकॉल के साथ काम करने के तर्क को उपयोगकर्ता स्थान में स्थानांतरित करना संभव बनाता है।

मुख्य नवाचार:

• सेट सूचियों में "*" मास्क तत्व के लिए समर्थन जोड़ा गया है, जो किसी भी पैकेज के लिए ट्रिगर होता है जो सेट में परिभाषित अन्य तत्वों के अंतर्गत नहीं आता है। तालिका x { मानचित्र ब्लॉकलिस्ट { प्रकार ipv4_addr : निर्णय ध्वज अंतराल तत्व = { 192.168.0.0/16 : स्वीकार करें, 10.0.0.0/8 : स्वीकार करें, * : ड्रॉप } } श्रृंखला y { प्रकार फ़िल्टर हुक प्रीरूटिंग प्राथमिकता 0; नीति स्वीकार करें; आईपी ​​​​सदर वीमैप @ब्लॉकलिस्ट } }
• "--define" विकल्प का उपयोग करके कमांड लाइन से वेरिएबल्स को परिभाषित करना संभव है। # कैट टेस्ट.एनएफटी टेबल नेटदेव एक्स { चेन वाई { टाइप फिल्टर हुक इनग्रेस डिवाइस = $ देव प्राथमिकता 0; नीति में गिरावट; } } # nft —define dev='{ eth0, eth1 }' -f test.nft
• मानचित्र सूचियों में, स्थिर (स्टेटफुल) अभिव्यक्तियों के उपयोग की अनुमति है: तालिका इनेट फ़िल्टर { मैप पोर्टमैप { प्रकार inet_service: निर्णय काउंटर तत्व = { 22 काउंटर पैकेट 0 बाइट्स 0: जंप ssh_input, * काउंटर पैकेट 0 बाइट्स 0: ड्रॉप } } चेन ssh_input { } चेन wan_input { tcp dport vmap @portmap } चेन प्रीरूटिंग { टाइप फिल्टर हुक प्रीरूटिंग प्राथमिकता रॉ; नीति स्वीकार करें; आईआईएफ वीमैप { "लो": जम्प wan_input } } }
• किसी दिए गए पैकेट परिवार के लिए हैंडलर की सूची प्रदर्शित करने के लिए "सूची हुक" कमांड जोड़ा गया: # nft सूची हुक आईपी डिवाइस eth0 परिवार आईपी { हुक प्रवेश { +0000000010 श्रृंखला नेटदेव xy [nf_tables] +0000000300 श्रृंखला inet mw [nf_tables] } हुक इनपुट { -0000000100 चेन आईपी एबी [एनएफ_टेबल्स] +0000000300 चेन इनेट एमजेड [एनएफ_टेबल्स] } हुक फॉरवर्ड { -0000000225 सेलिनक्स_आईपीवी4_फॉरवर्ड 0000000000 चेन आईपी एसी [एनएफ_टेबल्स] } हुक आउटपुट { -0000000225 सेलिनक्स_आईपीवी4_आउटपुट } हुक पोस्टरूटिंग { +0000000225 4 selinux_ipvXNUMX_postroute } }
• कतार ब्लॉक उपयोगकर्ता स्थान में कतारों में पैकेट वितरित करने के लिए jhash, symhash और numgen अभिव्यक्तियों को संयोजित करने की अनुमति देते हैं। … सिम्हैश मॉड 65536 के लिए कतार… न्यूमजेन इंक मॉड 65536 के लिए कतार झंडे बायपास… झाश ओआईएफ के लिए कतार। मेटा मार्क मॉड 32 "कतार" को मनमानी कुंजियों के आधार पर उपयोगकर्ता स्थान में एक कतार का चयन करने के लिए मानचित्र सूचियों के साथ भी जोड़ा जा सकता है। ... कतार झंडे ओआईएफनाम मानचित्र को बायपास करें { "eth0" : 0, "ppp0" : 2, "eth1" : 2 }
• उन चरों का विस्तार करना संभव है जिनमें एक सेट सूची को कई मानचित्रों में शामिल किया गया है। इंटरफ़ेस परिभाषित करें = { eth0, eth1 } तालिका आईपी x { श्रृंखला y { प्रकार फ़िल्टर हुक इनपुट प्राथमिकता 0; नीति स्वीकार करें; iifname vmap { lo : स्वीकार करें, $interfaces : ड्रॉप } } } # nft -f x.nft # nft सूची नियम सेट तालिका ip x { श्रृंखला y { प्रकार फ़िल्टर हुक इनपुट प्राथमिकता 0; नीति स्वीकार करें; iifname vmap { "लो": स्वीकार करें, "eth0": ड्रॉप, "eth1": ड्रॉप } } }
• अंतराल पर vmaps (निर्णय मानचित्र) के संयोजन की अनुमति है: # nft नियम xy tcp dport जोड़ें। आईपी ​​​​सदर वीमैप {1025-65535। 192.168.10.2 : स्वीकार करें }
• NAT मैपिंग के लिए सरलीकृत सिंटैक्स। पता सीमाएँ निर्दिष्ट करने की अनुमति: ... स्नैट से आईपी सैड्र मैप {10.141.11.4 : 192.168.2.2-192.168.2.4 } या स्पष्ट आईपी पते और पोर्ट: ... डीएनएट से आईपी सैड्र मैप { 10.141.11.4 : 192.168.2.3 . 80 } या आईपी रेंज और पोर्ट का संयोजन: ... dnat से ip saddr। टीसीपी डीपोर्ट मानचित्र { 192.168.1.2 . 80: 10.141.10.2-10.141.10.5. 8888-8999 }

स्रोत: opennet.ru