nftables 1.0.1, एक पैकेट फ़िल्टरिंग फ्रेमवर्क जो IPv4, IPv6, ARP और नेटवर्क ब्रिज के लिए पैकेट फ़िल्टरिंग इंटरफेस को एकीकृत करता है, जारी कर दिया गया है (इसे iptables, ip6table, arptables और ebtables के प्रतिस्थापन के रूप में लक्षित किया गया है)। nftables 1.0.1 के लिए आवश्यक परिवर्तन कर्नेल में शामिल कर लिए गए हैं। Linux 5.16-आरसी1.
nftables पैकेज में पैकेट फ़िल्टर घटक होते हैं जो उपयोगकर्ता स्थान में काम करते हैं, जबकि कर्नेल-स्तर का काम nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो कर्नेल का हिस्सा है। Linux रिलीज 3.13 के बाद से, कर्नेल स्तर पर केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान किया जाता है, जो पैकेट से डेटा निकालने, डेटा संचालन करने और प्रवाह नियंत्रण के लिए बुनियादी कार्यक्षमता प्रदान करता है।
फ़िल्टरिंग नियम और प्रोटोकॉल-विशिष्ट हैंडलर उपयोगकर्ता स्थान में बाइटकोड में संकलित किए जाते हैं, जिसके बाद इस बाइटकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और कर्नेल में एक विशेष तरीके से निष्पादित किया जाता है। आभासी मशीनयह दृष्टिकोण बीपीएफ (बर्कले पैकेट फिल्टर) की याद दिलाता है। यह दृष्टिकोण कर्नेल स्तर पर चलने वाले फ़िल्टरिंग कोड के आकार में उल्लेखनीय कमी की अनुमति देता है और सभी नियम पार्सिंग और प्रोटोकॉल लॉजिक को उपयोगकर्ता स्थान में स्थानांतरित करता है।
मुख्य नवाचार:
- बड़े सेट और मानचित्र सूचियों को लोड करते समय मेमोरी की खपत कम हो गई।
- सेट और मानचित्र सूचियों को पुनः लोड करने का कार्य तेज़ कर दिया गया है।
- बड़े नियम सेटों में चयनित तालिकाओं और श्रृंखलाओं का आउटपुट तेज कर दिया गया है। उदाहरण के लिए, 100 हजार पंक्तियों के साथ नियमों का एक सेट प्रदर्शित करने के लिए "एनएफटी सूची नियमसेट" कमांड का निष्पादन समय 3.049 सेकंड है, और आउटपुट करते समय केवल नेट और फ़िल्टर टेबल ("एनएफटी सूची तालिका नेट", "एनएफटी सूची तालिका फ़िल्टर") ”) 1.969 और 0.697 सेकंड तक कम हो गया है।
- बड़े सेट- और मानचित्र-सूचियों के साथ नियमों को संसाधित करते समय "--टर्स" विकल्प के साथ प्रश्नों का निष्पादन तेज हो गया है।
- "एग्रेस" श्रृंखला से ट्रैफ़िक को फ़िल्टर करना संभव है, जिसे नेटदेव श्रृंखला (एग्रेस हुक) में इग्रेशन हैंडलर के समान स्तर पर संसाधित किया जाता है, यानी। उस चरण में जब ड्राइवर को कर्नेल नेटवर्क स्टैक से एक पैकेट प्राप्त होता है। तालिका नेटदेव फ़िल्टर { चेन इग्रेशन { प्रकार फ़िल्टर हुक इग्रेशन डिवाइस = { eth0, eth1 } प्राथमिकता 0; मेटा प्राथमिकता सेट आईपी सैड्र मैप {192.168.10.2 : एबीसीडी:2, 192.168.10.3 : एबीसीडी:3 } } }
- किसी दिए गए ऑफसेट पर पैकेट के हेडर और सामग्री में बाइट्स के मिलान और संशोधन की अनुमति देता है। # nft नियम जोड़ें xy @ih,32,32 0x14000000 काउंटर # nft नियम जोड़ें xy @ih,32,32 सेट 0x14000000 काउंटर
स्रोत: opennet.ru
