nftables पैकेट फ़िल्टर 1.0.7 रिलीज़

nftables 1.0.7 पैकेट फ़िल्टर रिलीज़ प्रकाशित किया गया है, IPv4, IPv6, ARP और नेटवर्क ब्रिज के लिए पैकेट फ़िल्टरिंग इंटरफ़ेस को एकीकृत करता है (जिसका उद्देश्य iptables, ip6table, arptables और ebtables को बदलना है)। Nftables पैकेज में पैकेट फ़िल्टर घटक शामिल होते हैं जो उपयोगकर्ता स्थान में चलते हैं, जबकि कर्नेल स्तर nf_tables सबसिस्टम द्वारा प्रदान किया जाता है, जो 3.13 रिलीज के बाद से लिनक्स कर्नेल का हिस्सा रहा है। कर्नेल स्तर पर, केवल एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफ़ेस प्रदान किया जाता है जो पैकेट से डेटा निकालने, डेटा पर संचालन करने और प्रवाह को नियंत्रित करने के लिए बुनियादी कार्य प्रदान करता है।

फ़िल्टरिंग नियम स्वयं और प्रोटोकॉल-विशिष्ट हैंडलर को उपयोगकर्ता-स्थान बायटेकोड में संकलित किया जाता है, जिसके बाद इस बायटेकोड को नेटलिंक इंटरफ़ेस का उपयोग करके कर्नेल में लोड किया जाता है और बीपीएफ (बर्कले पैकेट फ़िल्टर) जैसी विशेष वर्चुअल मशीन में कर्नेल में निष्पादित किया जाता है। यह दृष्टिकोण कर्नेल स्तर पर चल रहे फ़िल्टरिंग कोड के आकार को महत्वपूर्ण रूप से कम करना और पार्सिंग नियमों के सभी कार्यों और प्रोटोकॉल के साथ काम करने के तर्क को उपयोगकर्ता स्थान में स्थानांतरित करना संभव बनाता है।

मुख्य परिवर्तन:

• Linux 6.2+ कर्नेल सिस्टम के लिए, vxlan, Geneve, gre, और gretap प्रोटोकॉल मैचिंग के लिए समर्थन जोड़ा गया है, जिससे एन्कैप्सुलेटेड पैकेट में हेडर की जाँच करने के लिए सरल अभिव्यक्ति की अनुमति मिलती है। उदाहरण के लिए, VxLAN से एक नेस्टेड पैकेट के हेडर में आईपी एड्रेस की जांच करने के लिए, अब आप नियमों का उपयोग कर सकते हैं (पहले VxLAN हेडर को डीएनकैप्सुलेट करने की आवश्यकता के बिना और फ़िल्टर को vxlan0 इंटरफ़ेस से बाँधें): ... udp dport 4789 वीएक्सएलएएन आईपी प्रोटोकॉल यूडीपी ... यूडीपी डीपोर्ट 4789 वीएक्सएलएएन आईपी सद्र 1.2.3.0/24 ... यूडीपी डीपोर्ट 4789 वीएक्सएलएएन आईपी सदर। वीएक्सएलएएन आईपी डैडर {1.2.3.4। 4.3.2.1}
• एक सेट-सूची तत्व के आंशिक विलोपन के बाद अवशेषों के स्वत: विलय के लिए कार्यान्वित समर्थन, जो किसी मौजूदा श्रेणी से किसी तत्व या श्रेणी के हिस्से को हटाने की अनुमति देता है (पहले, एक श्रेणी को केवल पूरी तरह से हटाया जा सकता था)। उदाहरण के लिए, 25-24 और 30-40, 50, 24-26 और 30-40 के साथ सेट सूची से तत्व 50 को हटाने के बाद सूची में बने रहेंगे। काम करने के लिए ऑटो-विलय के लिए आवश्यक सुधार कर्नेल की 5.10+ स्थिर शाखाओं के सुधारात्मक रिलीज में पेश किए जाएंगे। # nft लिस्ट रूल्ससेट टेबल ip x {सेट y { typeof tcp dport फ़्लैग्स इंटरवल ऑटो-मर्ज एलिमेंट्स = { 24-30, 40-50} } } # nft डिलीट एलिमेंट ip xy { 25 } # nft लिस्ट रूल्ससेट टेबल ip x { सेट y { typeof tcp dport फ़्लैग अंतराल ऑटो-मर्ज तत्व = { 24, 26-30, 40-50}}}
• एड्रेस ट्रांसलेशन (NAT) मैपिंग में संपर्क और रेंज का उपयोग करने की अनुमति दें। टेबल आईपी एनएटी { चेन प्रीरूटिंग { टाइप एनएटी हुक प्रीरूटिंग प्राथमिकता डीएसटीएनएटी; नीति स्वीकार; डीएनएट टू आईपी डैडर। टीसीपी डीपोर्ट मैप {10.1.1.136। 80 : 1.1.2.69 . 1024, 10.1.1.10-10.1.1.20। 8888-8889 : 1.1.2.69 . 2048-2049 } लगातार } }
• "अंतिम" अभिव्यक्ति के लिए जोड़ा गया समर्थन, जो आपको नियम तत्व या सेट सूची के अंतिम उपयोग के समय का पता लगाने की अनुमति देता है। लिनक्स कर्नेल 5.14 के बाद से इस सुविधा का समर्थन किया गया है। टेबल आईपी एक्स { सेट वाई { टाइपोफ आईपी डैडर। tcp dport साइज 65535 फ्लैग डायनामिक, टाइमआउट लास्ट टाइमआउट 1h } चेन z { टाइप फिल्टर हुक आउटपुट प्रायोरिटी फिल्टर; नीति स्वीकार; अपडेट @y {आईपी डैडर। टीसीपी डीपोर्ट}}} # एनएफटी सूची सेट आईपी एक्सवाई टेबल आईपी एक्स {सेट वाई {टाइपऑफ आईपी डैडर। टीसीपी डीपोर्ट आकार 65535 झंडे गतिशील, टाइमआउट अंतिम टाइमआउट 1h तत्व = {172.217.17.14। 443 अंतिम बार इस्तेमाल किया गया 1s591ms टाइमआउट 1h 59m58s409ms, 172.67.69.19 को समाप्त होता है। 443 अंतिम बार इस्तेमाल किया गया 4s636ms टाइमआउट 1h 59m55s364ms, 142.250.201.72 को समाप्त होता है। 443 अंतिम बार इस्तेमाल किया गया 4s748ms टाइमआउट 1h 59m55s252ms, 172.67.70.134 को समाप्त होता है। 443 अंतिम बार इस्तेमाल किया गया 4s688ms टाइमआउट 1h 59m55s312ms, 35.241.9.150 को समाप्त होता है। 443 अंतिम बार इस्तेमाल किया गया 5s204ms टाइमआउट 1h 59m54s796ms, 138.201.122.174 को समाप्त होता है। 443 अंतिम बार इस्तेमाल किया गया 4s537ms टाइमआउट 1h 59m55s463ms, 34.160.144.191 को समाप्त होता है। 443 अंतिम बार इस्तेमाल किया गया 5s205ms टाइमआउट 1h 59m54s795ms, 130.211.23.194 को समाप्त होता है। 443 अंतिम बार उपयोग किया गया 4s436ms समयबाह्य 1h 59m55s564ms समाप्त हो रहा है} } }
• सेट-सूचियों में कोटा परिभाषित करने की क्षमता जोड़ी गई। उदाहरण के लिए, प्रत्येक लक्ष्य IP पते के लिए एक ट्रैफ़िक कोटा परिभाषित करने के लिए, आप निर्दिष्ट कर सकते हैं: तालिका netdev x {सेट y { typeof ip daddr size 65535 10000 mbytes से अधिक कोटा} चेन y { प्रकार फ़िल्टर हुक इग्रेस डिवाइस "eth0" प्राथमिकता फ़िल्टर; नीति स्वीकार; आईपी ​​डैडर @y ड्रॉप}} # nft ऐड एलिमेंट इनसेट xy { 8.8.8.8 } # पिंग -c 2 8.8.8.8 # nft लिस्ट रूल्ससेट टेबल netdev x { सेट y { टाइप करें ipv4_addr size 65535 कोटा 10000 एमबीटी से ज्यादा एलिमेंट्स = { 8.8.8.8. 10000 कोटा 196 mबाइट से अधिक 0 बाइट्स का उपयोग किया गया}} चेन y {टाइप फ़िल्टर हुक इग्रेस डिवाइस "ethXNUMX" प्राथमिकता फ़िल्टर; नीति स्वीकार; आईपी ​​डैडर @ वाई ड्रॉप}}
• सेट-सूचियों में स्थिरांक के उपयोग की अनुमति है। उदाहरण के लिए, गंतव्य पते की सूची और कुंजी के रूप में VLAN ID का उपयोग करते समय, आप सीधे VLAN नंबर निर्दिष्ट कर सकते हैं (daddr. 123): टेबल netdev t { set s { typeof ether saddr . vlan आईडी आकार 2048 फ़्लैग डायनेमिक, टाइमआउट टाइमआउट 1m} चेन c {टाइप फ़िल्टर हुक इंग्रेस डिवाइस eth0 प्राथमिकता 0; नीति स्वीकार; ईथर प्रकार! = 8021q अपडेट @s { ईथर डैडर। 123} काउंटर}}
• वस्तुओं को बिना शर्त हटाने के लिए एक नया "नष्ट" कमांड जोड़ा गया है (डिलीट कमांड के विपरीत, यह गायब ऑब्जेक्ट को हटाने का प्रयास करते समय ENOENT उत्पन्न नहीं करता है)। कार्य करने के लिए कम से कम Linux 6.3-rc कर्नेल की आवश्यकता है। टेबल आईपी फ़िल्टर को नष्ट करें

स्रोत: opennet.ru