nftables პაკეტის ფილტრის გამოშვება 0.9.1

განვითარების ერთი წლის შემდეგ წარმოდგენილია პაკეტის ფილტრის გათავისუფლება nftables 0.9.1, ვითარდება, როგორც iptables, ip6table, arptables და ebtables ჩანაცვლება IPv4, IPv6, ARP და ქსელური ხიდების პაკეტების ფილტრაციის ინტერფეისების გაერთიანებით. nftables პაკეტი მოიცავს პაკეტის ფილტრის კომპონენტებს, რომლებიც მუშაობს მომხმარებლის სივრცეში, ხოლო ბირთვის დონის მუშაობას უზრუნველყოფს nf_tables ქვესისტემა, რომელიც Linux kernel-ის ნაწილია 3.13 გამოშვების შემდეგ.

ბირთვის დონე უზრუნველყოფს მხოლოდ ზოგად პროტოკოლისგან დამოუკიდებელ ინტერფეისს, რომელიც უზრუნველყოფს ძირითად ფუნქციებს პაკეტებიდან მონაცემების ამოსაღებად, მონაცემთა ოპერაციების შესასრულებლად და ნაკადის კონტროლისთვის.
თავად ფილტრაციის ლოგიკა და პროტოკოლის სპეციფიკური დამმუშავებლები შედგენილია მომხმარებლის სივრცეში ბაიტეკოდში, რის შემდეგაც ეს ბაიტი იტვირთება ბირთვში Netlink ინტერფეისის გამოყენებით და შესრულებულია სპეციალურ ვირტუალურ მანქანაში, რომელიც მოგვაგონებს BPF-ს (Berkeley Packet Filters). ეს მიდგომა საშუალებას გაძლევთ მნიშვნელოვნად შეამციროთ ბირთვის დონეზე გაშვებული ფილტრაციის კოდის ზომა და გადაიტანოთ პროტოკოლებთან მუშაობის წესებისა და ლოგიკის ყველა ფუნქცია მომხმარებლის სივრცეში.

ძირითადი ინოვაციები:

• IPsec მხარდაჭერა, გვირაბის მისამართების შესატყვისი პაკეტის, IPsec მოთხოვნის ID და SPI (უსაფრთხოების პარამეტრის ინდექსი) ტეგის საფუძველზე. Მაგალითად,

  ... ipsec ip saddr 192.168.1.0/24-ში
  ... ipsec spi 1-65536-ში

  ასევე შესაძლებელია იმის შემოწმება, გადის თუ არა მარშრუტი IPsec გვირაბში. მაგალითად, ტრაფიკის დაბლოკვა არა IPSec-ის საშუალებით:

  … ფილტრის გამომავალი rt ipsec აკლია წვეთი

• IGMP-ის (ინტერნეტ ჯგუფის მართვის პროტოკოლის) მხარდაჭერა. მაგალითად, შეგიძლიათ გამოიყენოთ წესი IGMP ჯგუფის წევრობის შემომავალი მოთხოვნების გასაუქმებლად

  nft დაამატეთ წესი netdev foo bar igmp ტიპის წევრობა-query counter drop

• გარდამავალი ჯაჭვების განსაზღვრისათვის ცვლადების გამოყენების შესაძლებლობა (ნახტომი / goto). Მაგალითად:

  განსაზღვრეთ dest = ber
  დაამატე წესი ip foo bar jump $dest

• ნიღბების მხარდაჭერა ოპერაციული სისტემების იდენტიფიცირებისთვის (OS Fingerprint) სათაურში TTL მნიშვნელობების საფუძველზე. მაგალითად, გამგზავნი OS-ზე დაფუძნებული პაკეტების აღსანიშნავად, შეგიძლიათ გამოიყენოთ ბრძანება:

  ... მეტა ნიშნის ნაკრები osf ttl სახელის რუკის გამოტოვება { "Linux" : 0x1,
  "Windows": 0x2,
  "MacOS": 0x3,
  "უცნობი" : 0x0 }
  ... osf ttl გამოტოვეთ ვერსია "Linux: 4.20"

• გამომგზავნის ARP მისამართთან და სამიზნე სისტემის IPv4 მისამართთან შესაბამისობის შესაძლებლობა. მაგალითად, 192.168.2.1 მისამართიდან გაგზავნილი ARP პაკეტების მრიცხველის გასაზრდელად, შეგიძლიათ გამოიყენოთ შემდეგი წესი:

  მაგიდა arp x {
  ჯაჭვი y {
  ტიპის filter hook შეყვანის პრიორიტეტული ფილტრი; პოლიტიკის მიღება;
  arp saddr ip 192.168.2.1 მრიცხველი პაკეტები 1 ბაიტი 46
  }
  }

• პროქსის (tproxy) მეშვეობით მოთხოვნების გამჭვირვალე გადაგზავნის მხარდაჭერა. მაგალითად, 80-ე პორტზე ზარების გადამისამართება პროქსი პორტში 8080:

  ცხრილი ip x {
  ჯაჭვი y {
  ტიპის ფილტრის კაუჭის პრიორიტეტი -150; პოლიტიკის მიღება;
  tcp dport 80 tproxy to:8080
  }
  }

• სოკეტების მარკირების მხარდაჭერა SO_MARK რეჟიმში setsockopt()-ის მეშვეობით მითითებული ნიშნის შემდგომი მიღების შესაძლებლობით. Მაგალითად:

  ცხრილის inet x {
  ჯაჭვი y {
  ტიპის ფილტრის კაუჭის პრიორიტეტი -150; პოლიტიკის მიღება;
  tcp dport 8080 ნიშნის ნაკრები სოკეტის ნიშანი
  }
  }

• მხარდაჭერა ჯაჭვებისთვის პრიორიტეტული ტექსტის სახელების მითითებისთვის. Მაგალითად:

  nft add chain ip x raw { type filter hook prerouting priority raw; }
  nft add chain ip x filter { type filter hook prerouting priority filter; }
  nft დაამატეთ ჯაჭვის ip x filter_later { type filter hook prerouting priority filter + 10; }

• SELinux ტეგების მხარდაჭერა (Secmark). მაგალითად, SELinux კონტექსტში "sshtag" ტეგის დასადგენად, შეგიძლიათ გაუშვათ:

  nft დაამატეთ secmark inet filter sshtag "system_u:object_r:ssh_server_packet_t:s0"

  შემდეგ გამოიყენეთ ეს ეტიკეტი წესებში:

  nft დაამატე წესი inet filter input tcp dport 22 meta secmark set “sshtag”

  nft დაამატეთ რუკა inet filter secmapping { type inet_service : secmark; }
  nft დაამატეთ ელემენტი inet filter secmapping { 22 : "sshtag" }
  nft დაამატე წესი inet filter input meta secmark set tcp dport map @secmapping

• პროტოკოლებისთვის მინიჭებული პორტების ტექსტის სახით მითითების შესაძლებლობა, როგორც ისინი განსაზღვრულია /etc/services ფაილში. Მაგალითად:

  nft დაამატეთ წესი xy tcp dport "ssh"
  nft სიის წესების ნაკრები -l
  ცხრილი x {
  ჯაჭვი y {
  ...
  tcp dport "ssh"
  }
  }

• ქსელის ინტერფეისის ტიპის შემოწმების შესაძლებლობა. Მაგალითად:

  დაამატეთ წესი inet raw prerouting meta iifkind "vrf" მიღება

• გაუმჯობესებული მხარდაჭერა ნაკრების შიგთავსის დინამიურად განახლებისთვის „დინამიური“ დროშის მკაფიოდ მითითებით. მაგალითად, კომპლექტის "s"-ის გასაახლებლად, რათა დაამატოთ წყაროს მისამართი და გადააყენოთ ჩანაწერი, თუ პაკეტები არ არის 30 წამის განმავლობაში:

  დაამატეთ ცხრილი x
  add set xs { type ipv4_addr; ზომა 128; ტაიმაუტი 30წ; დროშები დინამიური; }
  ჯაჭვის დამატება xy { type filter hook შეყვანის პრიორიტეტი 0; }
  დაამატეთ წესი xy განახლება @s { ip saddr }

• ცალკე დროის ამოწურვის პირობის დაყენების შესაძლებლობა. მაგალითად, 8888 პორტზე შემოსული პაკეტების ნაგულისხმევი დროის ამოწურვის მიზნით, შეგიძლიათ მიუთითოთ:

  ცხრილის IP ფილტრი {
  ct timeout aggressive-tcp {
  პროტოკოლი tcp;
  l3proto ip;
  პოლიტიკა = {დაარსდა: 100, დახურვა_ლოდინში: 4, დახურვა: 4}
  }
  ჯაჭვის გამომავალი {
  ...
  tcp dport 8888 ct დროის ამოწურვის ნაკრები "aggressive-tcp"
  }
  }

• NAT მხარდაჭერა ინეტის ოჯახისთვის:

  ცხრილი inet nat {
  ...
  ip6 daddr dead::2::1 dnat to dead:2::99
  }

• გაუმჯობესებული შეცდომის შესახებ შეტყობინება:

  nft დაამატეთ ჯაჭვის ფილტრის ტესტი

  შეცდომა: ასეთი ფაილი ან დირექტორია არ არის; იგულისხმე ცხრილის "ფილტრი" ოჯახის IP-ში?
  დაამატეთ ჯაჭვის ფილტრის ტესტი
  ^^^^^^

• კომპლექტებში ინტერფეისის სახელების მითითების შესაძლებლობა:

  დააყენეთ sc {
  აკრიფეთ inet_service. თუ სახელი
  ელემენტები = {"ssh" . "eth0"}
  }

• განახლებული flowtable წესების სინტაქსი:

  nft დაამატეთ ცხრილი x
  nft დამატება flowtable x ft { hook ingress priority 0; მოწყობილობები = { eth0, wlan0 }; }
  ...
  nft დაამატე წესი x წინსვლის ip პროტოკოლი { tcp, udp } flow add @ft

• გაუმჯობესებული JSON მხარდაჭერა.

წყარო: opennet.ru