Megjelent az nftables 1.0.1 csomagszűrő verziója, amely egységesíti a csomagszűrési felületeket IPv4, IPv6, ARP és hálózati hidak számára (célja az iptables, ip6tables, arptables és ebtables helyettesítése). Az nftables 1.0.1 működéséhez szükséges módosítások a Linux 5.16-rc1 kernelbe vannak beépítve.
Az nftables csomagba tartoznak a felhasználói térben működő csomagszűrő komponensek, míg a kernel szintjén az nf_tables alrendszer látja el a feladatot, amely a Linux kernel 3.13-as verziójától kezdve érhető el. A kernel szintjén csak egy általános interfész áll rendelkezésre, amely független a konkrét protokolltól, és alapvető funkciókat biztosít a csomagokból származó adatok kinyerésére, az adatokkal végzett műveletekre és az adatfolyam kezelésére.
Közvetlenül a szűrési szabályok és a protokollspecifikus kezelők felhasználói térben bájt kódba vannak fordítva, majd ezt a bájt kódot a Netlink interfész segítségével betöltik a kernelbe, ahol speciális környezetben végrehajtásra kerül. virtuális gépben, amely a BPF (Berkeley Packet Filters) eljárásra emlékeztet. Ez a megközelítés jelentősen csökkenti a kernel szinten működő szűrési kód méretét, miközben az összes szabályok parszolásával és a protokollokkal kapcsolatos logikával kapcsolatos funkciót a felhasználói térbe helyezi.
Főbb újítások:
- Csökkent a memóriafogyasztás nagy set- és map-listák betöltésekor.
- Felgyorsult a set- és map-listák újraindítása.
- Felgyorsult a kiválasztott táblák és láncok kiírása nagy szabályhalmazokban. Például a "nft list ruleset" parancs végrehajtási ideje egy 100 ezer soros szabályhalmaz kiírásakor 3,049 másodperc, míg csak a nat és filter táblák kiírása („nft list table nat”, „nft list table filter”) 1,969 és 0,697 másodpercre csökken.
- Felgyorsult a lekérdezések végrehajtása a „—terse” opcióval nagy set- és map-listák feldolgozása során.
- Lehetővé vált a forgalom szűrése az egress láncból, amelyet ugyanazon a szinten kezelnek, mint az egress kezelő a netdev láncban (egress hook), azaz abban a szakaszban, amikor a driverek a csomagot a kernel hálózati vereméből megkapják. table netdev filter { chain egress { type filter hook egress devices = { eth0, eth1 } priority 0; meta priority set ip saddr map { 192.168.10.2 : abcd:2, 192.168.10.3 : abcd:3 } } }
- Engedélyezve van a bájtok összevetése és módosítása a csomag fejlécében és tartalmában a megadott eltolás szerint. # nft add rule x y @ih,32,32 0x14000000 counter # nft add rule x y @ih,32,32 set 0x14000000 counter
Forrás: opennet.ru
