מהדורת מסנן מנות nftables 1.0.3

פורסם שחרורו של מסנן מנות nftables 1.0.3, המאחד ממשקי סינון מנות עבור IPv4, IPv6, ARP וגשרי רשת (שמטרתם להחליף iptables, ip6table, arptables ו-ebtables). השינויים הנדרשים כדי שהגרסה של nftables 1.0.3 תעבוד כלולים בליבת Linux 5.18.

חבילת nftables כוללת רכיבי מסנן מנות הפועלים בחלל המשתמש, בעוד שהעבודה ברמת הליבה מסופקת על ידי תת-המערכת nf_tables, שהייתה חלק מליבת לינוקס מאז גרסה 3.13. רמת הקרנל מספקת רק ממשק גנרי בלתי תלוי בפרוטוקול המספק פונקציות בסיסיות לחילוץ נתונים ממנות, ביצוע פעולות נתונים ובקרת זרימה.

כללי הסינון עצמם והמטפלים הספציפיים לפרוטוקול מורכבים לתוך bytecode של מרחב המשתמש, ולאחר מכן קוד בית זה נטען לתוך הליבה באמצעות ממשק Netlink ומבוצע בקרנל במכונה וירטואלית מיוחדת הדומה ל-BPF (Berkeley Packet Filters). גישה זו מאפשרת להקטין משמעותית את גודל קוד הסינון הפועל ברמת הקרנל ולהעביר את כל הפונקציות של חוקי הניתוח וההיגיון של עבודה עם פרוטוקולים למרחב המשתמש.

חידושים עיקריים:

• רשימות סט תומכות כעת בהתאמת שמות ממשקי רשת על ידי מסיכה, למשל, שצוינה באמצעות הסמל "*": table inet testifsets { set simple_wild { type ifname flags interval elements = { "abcdef*", "othername", "ppp0" } } שרשרת v4icmp { סוג מסנן הוק עדיפות קלט 0; קבלת מדיניות; iifname @simple_wild מונה מנות 0 בתים 0 iifname { "abcdef*", "eth0" } מנות מונה 0 בתים 0 } }
• הטמע מיזוג אוטומטי של רכיבי סט-ליסט מצטלבים במהלך הפעולה. בעבר, כאשר נקבעה אפשרות "מיזוג אוטומטי", המיזוג בוצע בשלב ההכרזה על הכללים, אך כעת הוא עובד גם כאשר אלמנטים חדשים מתווספים בהדרגה במהלך הפעולה. לדוגמה, בשלב ההכרזה, הרשימה ערכה y { flags interval auto-merge elements = { 1.2.3.0, 1.2.3.255, 1.2.3.0/24, 3.3.3.3, 4.4.4.4, 4.4.4.4-4.4.4.8 , 3.3.3.4 , 3.3.3.5 } } יהפכו לאלמנטים = { 1.2.3.0/24, 3.3.3.3-3.3.3.5, 4.4.4.4-4.4.4.8 } ואז אם תוסיף אלמנטים חדשים # nft הוסף אלמנט ip xy { 1.2.3.0 -1.2.4.255, 3.3.3.6 } ייראה כמו אלמנטים = { 1.2.3.0-1.2.4.255, 3.3.3.3-3.3.3.6, 4.4.4.4-4.4.4.8 }

  כאשר אתה מסיר פריטים בודדים מהרשימה שנכללים בתוך פריטי טווח קיימים, הטווח מתקצר או מפוצל.

• תמיכה בשילוב כללי תרגום כתובות מרובות (NAT) לרשימת מפות נוספה לאופטימיזציית הכללים, הנקראת כאשר מצוינת האפשרות "-o/-optimize". לדוגמה, עבור הסט # cat ruleset.nft table ip x { chain y { type nat hook postrouting priority srcnat; ירידת מדיניות; ip saddr 1.1.1.1 tcp dport 8000 snat ל- 4.4.4.4:80 ip saddr 2.2.2.2 tcp dport 8001 snat ל- 5.5.5.5:90 } }

  הפעלת "nft -o -c -f ruleset.nft" תמיר את כללי "ip saddr" הנפרדים לרשימת מפות: snat ל-ip saddr. tcp dport map { 1.1.1.1. 8000: 4.4.4.4. 80, 2.2.2.2. 8001: 5.5.5.5. 90}

  באופן דומה, ניתן להמיר ביטויים גולמיים לרשימות מפות: # cat ruleset.nft table ip x { […] chain nat_dns_acme { udp length 47-63 @th,160,128 0x0e373135363130333131303735353203 goto 62 natp 78 160,128 0x0e31393032383939353831343037320e goto nat_dns_this_5301 אורך udp 62-78 @th,160,128 0x0e31363436323733373931323934300e goto nat_dns_saturn_5301 אורך udp 62-78 @th,160,128 0x0e32393535373539353636383732310 5302 62 78 160,128x0e0 38353439353637323038363633390 5303 XNUMX XNUMX XNUMX XNUMX XNUMXxXNUMXeXNUMX XNUMX XNUMX XNUMX XNUMX XNUMX XNUMXe goto nat_dns_saturn_XNUMX udp אורך XNUMX-XNUMX @th,XNUMX XNUMXxXNUMXeXNUMXe goto nat_dns_saturn_XNUMX drop } }

  לאחר אופטימיזציה נקבל רשימת מפות: udp length . @th,160,128 vmap { 47-63 . 0x0e373135363130333131303735353203 : goto nat_dns_dnstc, 62-78 . 0x0e31393032383939353831343037320e : goto nat_dns_this_5301, 62-78 . 0x0e31363436323733373931323934300e : goto nat_dns_saturn_5301, 62-78 . 0x0e32393535373539353636383732310e : goto nat_dns_saturn_5302, 62-78 . 0x0e38353439353637323038363633390e : goto nat_dns_saturn_5303 }

• השימוש בביטויים גולמיים בפעולות שרשור מותר. לדוגמה: #nft הוסף כלל xy ip saddr. @ih,32,32 { 1.1.1.1 . 0x14, 2.2.2.2 . 0x1e } או table x { set y { typeof ip saddr . @ih,32,32 elements = { 1.1.1.1 . 0x14 } } }
• נוספה תמיכה לציון שדות כותרות שלמים בפעולות שרשור: table inet t { map m1 { typeof udp length . @ih,32,32: אלמנטים של מרווחי פסק דין מסמנים = { 20-80. 0x14 : קבל, 1-10 . 0xa : drop } } שרשרת c { סוג מסנן הוק עדיפות קלט 0; ירידת מדיניות; אורך udp. @ih,32,32 vmap @m1 } }
• נוספה תמיכה לאיפוס אפשרויות TCP (עובד רק עם ליבת לינוקס 5.18+): tcp flags syn reset tcp option sack-perm
• הביצוע של פקודות פלט שרשרת ("שרשרת nft list xy") הואץ.

מקור: OpenNet.ru