Arturo Borrero, sviluppatore di Debian, membro del Coreteam del progetto Netfilter e manutentore dei pacchetti Debian associati a nftables, iptables e netfilter, intende tradurre la seguente importante versione della distribuzione Debian 11 per utilizzare nftables come predefinito. Se la proposta viene approvata, i pacchetti con iptables saranno classificati come opzioni facoltative, non incluse nell'installazione di base.
Il filtro dei pacchetti Nftables è notevole per l'unificazione delle interfacce di filtraggio dei pacchetti per IPv4, IPv6, ARP e ponti di rete. Nftables fornisce a livello di kernel solo un'interfaccia generale, indipendente dal protocollo specifico, e che offre funzioni di base per l'estrazione di dati dai pacchetti, l'esecuzione di operazioni sui dati e la gestione del flusso. La logica di filtraggio e i gestori specifici per i protocolli sono compilati in bytecode nello spazio utente, dopodiché questo bytecode viene caricato nel kernel tramite l'interfaccia Netlink e viene eseguito in una macchina virtuale speciale, simile ai BPF (Berkeley Packet Filters).
Di default, in Debian 11 si propone anche di utilizzare il firewall dinamico firewalld, presentato come un'interfaccia sopra nftables. Firewalld viene eseguito come processo in background, consentendo la modifica dinamica delle regole del filtro dei pacchetti tramite DBus, senza la necessità di ricaricare le regole del filtro dei pacchetti e senza interrompere le connessioni stabilite. Per gestire il firewall viene utilizzata l'utilità firewall-cmd, che nella creazione delle regole non si basa su indirizzi IP, interfacce di rete e numeri di porta, ma sui nomi dei servizi (ad esempio, per abilitare l'accesso a SSH, è necessario eseguire «firewall-cmd —add —service=ssh», per disabilitare SSH — «firewall-cmd —remove —service=ssh»).
Fonte: opennet.ru
