Segue e sviluppatori di Ubuntu passaggio all'uso predefinito del filtro pacchetti .
Per garantire la retrocompatibilità, si propone di utilizzare il pacchetto , che fornisce utility con la stessa sintassi della riga di comando di iptables, ma traduce le regole ricevute in bytecode nf_tables. Il cambiamento è previsto per il rilascio autunnale di Ubuntu 20.10.
Questa è la seconda volta che Ubuntu prova a passare a nftables. Il primo tentativo è stato fatto lo scorso anno, ma è stato rifiutato a causa dell'incompatibilità con gli strumenti . Ora in LXD c'è già supporto integrato per nftables e può funzionare con il nuovo backend per il filtraggio dei pacchetti. Per gli utenti che non sono soddisfatti del livello di compatibilità, c'è la possibilità di installare le classiche utility iptables, ip6tables, arptables e ebtables con il vecchio backend.
Ricordiamo che nel filtro pacchetti interfacce di filtraggio pacchetti per IPv4, IPv6, ARP e ponti di rete sono unificate. Il pacchetto nftables include componenti del filtro pacchetti che operano nello spazio utente, mentre a livello di kernel il lavoro è gestito dal sottosistema nf_tables, che fa parte del kernel Linux a partire dalla versione 3.13. A livello kernel viene fornito solo un'interfaccia generale, indipendente dal protocollo specifico e fornendo funzioni di base per l'estrazione dei dati dai pacchetti, esecuzione di operazioni sui dati e gestione del flusso.
Le regole di filtraggio stesse e i gestori specifici per i protocolli sono compilati in bytecode nello spazio utente, dopodiché questo bytecode viene caricato nel kernel tramite l'interfaccia Netlink ed eseguito nel kernel in una macchina virtuale speciale simile a BPF (Berkeley Packet Filters). Questo approccio consente di ridurre significativamente la dimensione del codice di filtraggio che opera a livello di kernel e di spostare tutte le funzioni di parsing delle regole e della logica di gestione dei protocolli nello spazio utente.
Fonte: opennet.ru
