nftables पैकेट फ़िल्टर 1.0.6 रिलीज़

nftables 1.0.6 पैकेट फ़िल्टर रिलीज़ प्रकाशित किया गया है, IPv4, IPv6, ARP और नेटवर्क ब्रिज के लिए पैकेट फ़िल्टरिंग इंटरफ़ेस को एकीकृत करता है (जिसका उद्देश्य iptables, ip6table, arptables और ebtables को बदलना है)। Nftables पैकेज में पैकेट फ़िल्टर घटक शामिल होते हैं जो उपयोगकर्ता स्थान में चलते हैं, जबकि कर्नेल स्तर nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो 3.13 रिलीज के बाद से लिनक्स कर्नेल का हिस्सा रहा है। कर्नेल स्तर पर, केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान किया जाता है जो पैकेट से डेटा निकालने, डेटा पर संचालन करने और प्रवाह को नियंत्रित करने के लिए बुनियादी कार्य प्रदान करता है।

फ़िल्टरिंग नियम स्वयं और प्रोटोकॉल-विशिष्ट हैंडलर को उपयोगकर्ता-स्थान बायटेकोड में संकलित किया जाता है, जिसके बाद इस बायटेकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और बीपीएफ (बर्कले पैकेट फ़िल्टर) जैसी विशेष वर्चुअल मशीन में कर्नेल में निष्पादित किया जाता है। यह दृष्टिकोण कर्नेल स्तर पर चल रहे फ़िल्टरिंग कोड के आकार को महत्वपूर्ण रूप से कम करना और पार्सिंग नियमों के सभी कार्यों और प्रोटोकॉल के साथ काम करने के तर्क को उपयोगकर्ता स्थान में स्थानांतरित करना संभव बनाता है।

मुख्य परिवर्तन:

• नियम ऑप्टिमाइज़र, जिसे "-o/-ऑप्टिमाइज़" विकल्प निर्दिष्ट होने पर कहा जाता है, में नियमों को संयोजित करके और उन्हें मानचित्र और सेट सूचियों में परिवर्तित करके स्वचालित पैकेजिंग होती है। उदाहरण के लिए, नियम # कैट रूल्ससेट.एनएफटी टेबल आईपी एक्स { चेन वाई { टाइप फिल्टर हुक इनपुट प्राथमिकता फिल्टर; नीति में गिरावट; मेटा आईआईएफनाम एथ1 आईपी सैड्र 1.1.1.1 आईपी डैडड्र 2.2.2.3 मेटा आईआईएफनाम एथ1 आईपी सैड्र 1.1.1.2 आईपी सैड्र 2.2.2.4 स्वीकार करें मेटा आईआईएफनाम एथ1 आईपी सैड्र 1.1.1.2 आईपी डैडड्र 2.2.3.0/24 मेटा आईआईएफनाम एथ1 आईपी सैड्र 1.1.1.2 स्वीकार करें .2.2.4.0 आईपी डैडीआर 2.2.4.10-2 मेटा आईआईएफएनएम एथ1.1.1.3 आईपी सैड्र 2.2.2.5 आईपी डैडीआर 4 स्वीकार करें } } निष्पादित करने के बाद "एनएफटी -ओ -सी -एफ रूल्ससेट.एनएफटी" को निम्नानुसार परिवर्तित किया जाएगा: रूल्ससेट एनएफटी:17:74-1: मेटा आईआईएफनाम एथ1.1.1.1 आईपी सैड्र 2.2.2.3 आईपी डैडड्र 5 रूल्ससेट स्वीकार करें। एनएफटी:17:74-1: मेटा आईआईएफनाम एथ1.1.1.2 आईपी सैड्र 2.2.2.4 आईपी डैडड्र 6 रूल्ससेट स्वीकार करें। : 17:77-1: मेटा आईआईएफनाम एथ1.1.1.2 आईपी सैड्र 2.2.3.0 आईपी डैडड्र 24/7 रूल्ससेट स्वीकार करें।एनएफटी:17:83-1: मेटा आईआईएफनाम एथ1.1.1.2 आईपी सैड्र 2.2.4.0 आईपी डैडड्र 2.2.4.10-8 नियमसेट स्वीकार करें.एनएफटी:17:74-2: मेटा आईआईएफनाम एथ1.1.1.3 आईपी सैड्र 2.2.2.5 आईपी डैडड्र 1 इसमें स्वीकार करें: आईआईएफनाम। आईपी ​​​​सदर. आईपी ​​​​डैडर { eth1.1.1.1 . 2.2.2.3. 1, एथ1.1.1.2। 2.2.2.4. 1, एथ1.1.1.2। 2.2.3.0. 24/1, eth1.1.1.2. 2.2.4.0. 2.2.4.10-2, एथ1.1.1.3. 2.2.2.5. XNUMX } स्वीकार करें
• ऑप्टिमाइज़र उन नियमों को भी परिवर्तित कर सकता है जो पहले से ही सरल सेट सूचियों का उपयोग अधिक कॉम्पैक्ट रूप में करते हैं, उदाहरण के लिए नियम: # कैट रूल्ससेट.एनएफटी टेबल आईपी फिल्टर { चेन इनपुट { टाइप फिल्टर हुक इनपुट प्राथमिकता फिल्टर; नीति में गिरावट; आईआईएफनाम "लो" स्वीकार करें सीटी राज्य स्थापित, संबंधित टिप्पणी स्वीकार करें "यातायात में हम उत्पन्न होते हैं, हम भरोसा करते हैं" आईआईएफनाम "enp0s31f6" आईपी सैड्र { 209.115.181.102, 216.197.228.230 } आईपी डैडड्र 10.0.0.149 यूडीपी स्पोर्ट 123 यूडीपी डीपोर्ट 32768-65535 स्वीकार करें iifname "enp0s31f6" ip saddr { 64.59.144.17, 64.59.150.133 } ip papdr 10.0.0.149 udp स्पोर्ट 53 udp dport 32768-65535 स्वीकार करें } } "nft -o -c -fरूल्ससेट.nft" निष्पादित करने के बाद निम्नानुसार पैक किया जाएगा :नियमसेट.एनएफटी:6:22-149: आईआईएफनाम "enp0s31f6" आईपी सैड्र {209.115.181.102, 216.197.228.230 } आईपी डैडड्र 10.0.0.149 यूडीपी स्पोर्ट 123 यूडीपी डीपोर्ट 32768-65535 रूल्ससेट स्वीकार करें।एनएफटी:7:22 - 143: आईआईएफनाम "enp0s31f6" आईपी सैडर {64.59.144.17, 64.59.150.133 } आईपी डैडीआर 10.0.0.149 यूडीपी स्पोर्ट 53 यूडीपी डीपोर्ट 32768-65535 इसमें स्वीकार करें: आईआईएफनाम। आईपी ​​​​सदर. आईपी ​​डैड्र. यूडीपी स्पोर्ट। यूडीपी डीपोर्ट { enp0s31f6 . 209.115.181.102. 10.0.0.149. 123. 32768-65535, enp0s31f6. 216.197.228.230. 10.0.0.149. 123. 32768-65535, enp0s31f6. 64.59.144.17. 10.0.0.149. 53. 32768-65535, enp0s31f6. 64.59.150.133. 10.0.0.149. 53. 32768-65535 } स्वीकार करें
• आईपीवी4 (नेटवर्क बाइट ऑर्डर) और मेटा मार्क (सिस्टम बाइट ऑर्डर) जैसे विभिन्न बाइट ऑर्डर वाले प्रकारों का उपयोग करने वाले अंतरालों को मर्ज करने के लिए बाइटकोड जेनरेशन की समस्या का समाधान किया गया। टेबल आईपी एक्स { मैप डब्ल्यू {टाइपऑफ आईपी सैडर। मेटा मार्क: फैसले के झंडे अंतराल काउंटर तत्व = {127.0.0.1-127.0.0.4। 0x123434-0xb00122 : स्वीकार करें, 192.168.0.10-192.168.1.20। 0x0000aa00-0x0000aaff : स्वीकार करें, } } चेन k { प्रकार फ़िल्टर हुक इनपुट प्राथमिकता फ़िल्टर; नीति में गिरावट; आईपी ​​​​सदर. मेटा मार्क वीमैप @w } }
• कच्चे भावों का उपयोग करते समय दुर्लभ प्रोटोकॉल की बेहतर तुलना, उदाहरण के लिए: मेटा l4proto 91 @th,400,16 0x0 स्वीकार
• अंतराल पर नियमों को सक्षम करने की समस्याओं का समाधान कर दिया गया है: नियम डालें xy tcp स्पोर्ट { 3478-3497, 16384-16387 } काउंटर स्वीकार
• सेट और मानचित्र सूचियों में अभिव्यक्तियों के लिए समर्थन शामिल करने के लिए JSON API में सुधार किया गया है।
• एनएफटीएबल्स पायथन लाइब्रेरी के एक्सटेंशन सत्यापन मोड ("-सी") में प्रसंस्करण के लिए नियम सेट लोड करने की अनुमति देते हैं और चर की बाहरी परिभाषा के लिए समर्थन जोड़ते हैं।
• सेट सूची तत्वों में टिप्पणियाँ जोड़ने की अनुमति है।
• बाइट रेटलिमिट शून्य मान निर्दिष्ट करने की अनुमति देता है।

स्रोत: opennet.ru