Debian 11 ნაგულისხმევად გთავაზობთ nftables და firewalld-ს

არტურო ბორერო, Debian-ის დეველოპერი, რომელიც არის Netfilter Project Coreteam-ის ნაწილი და Debian-ზე nftables, iptables და netfilter-თან დაკავშირებული პაკეტების შემსრულებელი, შემოთავაზებული გადაიტანეთ Debian 11-ის შემდეგი ძირითადი გამოშვება ნაგულისხმევად გამოიყენოთ nftables. თუ წინადადება დამტკიცდება, iptables-ის მქონე პაკეტები გადაინაცვლებს არჩევითი ვარიანტების კატეგორიაში, რომელიც არ შედის ძირითად პაკეტში.

Nftables პაკეტის ფილტრი გამოირჩევა IPv4, IPv6, ARP და ქსელური ხიდების პაკეტების ფილტრაციის ინტერფეისების გაერთიანებით. Nftables უზრუნველყოფს მხოლოდ ზოგად, პროტოკოლისგან დამოუკიდებელ ინტერფეისს ბირთვის დონეზე, რომელიც უზრუნველყოფს ძირითად ფუნქციებს პაკეტებიდან მონაცემების ამოსაღებად, მონაცემთა ოპერაციების შესასრულებლად და ნაკადის კონტროლისთვის. თავად ფილტრაციის ლოგიკა და პროტოკოლის სპეციფიკური დამმუშავებლები შედგენილია მომხმარებლის სივრცეში ბაიტეკოდში, რის შემდეგაც ეს ბაიტი იტვირთება ბირთვში Netlink ინტერფეისის გამოყენებით და შესრულებულია სპეციალურ ვირტუალურ მანქანაში, რომელიც მოგვაგონებს BPF-ს (Berkeley Packet Filters).

ნაგულისხმევად, Debian 11 ასევე გთავაზობთ დინამიურ firewall firewall-ს, რომელიც შექმნილია როგორც შეფუთვა nftable-ების თავზე. Firewalld მუშაობს როგორც ფონური პროცესი, რომელიც საშუალებას გაძლევთ დინამიურად შეცვალოთ პაკეტის ფილტრის წესები DBus-ის საშუალებით, პაკეტის ფილტრის წესების გადატვირთვის ან დამყარებული კავშირების გაწყვეტის გარეშე. firewall-ის სამართავად გამოიყენება firewall-cmd პროგრამა, რომელიც წესების შექმნისას ეფუძნება არა IP მისამართებს, ქსელის ინტერფეისებს და პორტის ნომრებს, არამედ სერვისების სახელებს (მაგალითად, SSH-ზე წვდომის გასახსნელად საჭიროა გაუშვით „firewall-cmd —add —service= ssh“, დახურეთ SSH – „firewall-cmd –remove –service=ssh“).

წყარო: opennet.ru