Arturo Borrero, sviluppatore di Debian e membro del Coreteam del progetto Netfilter, si occupa dei pacchetti Debian relativi a nftables, iptables e netfilter. Tradurre la prossima significativa versione della distribuzione Debian 11 per utilizzare nftables come impostazione predefinita. Se la proposta sarà approvata, i pacchetti relativi a iptables saranno considerati opzioni facoltative, non incluse nella fornitura base.
Il filtro pacchetti Nftables è notevole per l'unificazione delle interfacce di filtraggio pacchetti per IPv4, IPv6, ARP e ponti di rete. Nftables offre a livello di kernel solo un'interfaccia generale, indipendente dal protocollo specifico, e fornisce le funzioni di base per l'estrazione dei dati dai pacchetti, l'esecuzione di operazioni sui dati e la gestione del flusso. La logica di filtraggio e i gestori specifici per i protocolli vengono compilati in bytecode nello spazio utente, dopodiché questo bytecode è caricato nel kernel tramite l'interfaccia Netlink e viene eseguito in una macchina virtuale speciale, simile ai BPF (Berkeley Packet Filters).
Per impostazione predefinita, Debian 11 offre anche l'opzione di abilitare il firewall dinamico firewalld, strutturato come un'integrazione sopra nftables. Firewalld viene eseguito come processo in background, consentendo di modificare dinamicamente le regole del filtro dei pacchetti tramite DBus, senza la necessità di ricaricare le regole e senza interrompere le connessioni stabilite. Per gestire il firewall si utilizza l'utilità firewall-cmd, che alla creazione delle regole si basa non su IP addresses, interfacce di rete e numeri di porta, ma sui nomi dei servizi (ad esempio, per consentire l'accesso a SSH è necessario eseguire «firewall-cmd —add —service=ssh», per chiudere SSH — «firewall-cmd —remove —service=ssh»).
Fonte: opennet.ru
