nftables პაკეტის ფილტრის გამოშვება 1.0.0

გამოქვეყნდა პაკეტის ფილტრის nftables 1.0.0 გამოშვება, რომელიც აერთიანებს პაკეტების ფილტრაციის ინტერფეისებს IPv4, IPv6, ARP და ქსელის ხიდებისთვის (მიზნად ისახავს iptables, ip6table, arptables და ebtables ჩანაცვლებას). nftables 1.0.0-ის მუშაობისთვის საჭირო ცვლილებები შედის Linux 5.13 ბირთვში. ვერსიის ნომრის მნიშვნელოვანი ცვლილება არ არის დაკავშირებული რაიმე ფუნდამენტურ ცვლილებებთან, მაგრამ არის მხოლოდ ათობითი აღნიშვნით ნუმერაციის თანმიმდევრული გაგრძელების შედეგი (წინა გამოშვება იყო 0.9.9).

nftables პაკეტი მოიცავს მომხმარებლის სივრცის პაკეტის ფილტრის კომპონენტებს, ხოლო ბირთვის დონის მუშაობას უზრუნველყოფს nf_tables ქვესისტემა, რომელიც Linux-ის ბირთვის ნაწილია 3.13 გამოშვების შემდეგ. ბირთვის დონე უზრუნველყოფს მხოლოდ ზოგად პროტოკოლისგან დამოუკიდებელ ინტერფეისს, რომელიც უზრუნველყოფს ძირითად ფუნქციებს პაკეტებიდან მონაცემების ამოსაღებად, მონაცემთა ოპერაციების შესასრულებლად და ნაკადის კონტროლისთვის.

ფილტრაციის წესები და პროტოკოლის სპეციფიკური დამმუშავებლები შედგენილია მომხმარებლის სივრცეში ბაიტეკოდში, რის შემდეგაც ეს ბაიტი იტვირთება ბირთვში Netlink ინტერფეისის გამოყენებით და შესრულებულია ბირთვში სპეციალურ ვირტუალურ მანქანაში, რომელიც მოგვაგონებს BPF-ს (Berkeley Packet Filters). ეს მიდგომა საშუალებას გაძლევთ მნიშვნელოვნად შეამციროთ ბირთვის დონეზე გაშვებული ფილტრაციის კოდის ზომა და გადაიტანოთ პროტოკოლებთან მუშაობის წესებისა და ლოგიკის ყველა ფუნქცია მომხმარებლის სივრცეში.

ძირითადი ინოვაციები:

• "*" ნიღბის ელემენტის მხარდაჭერა დაემატა კომპლექტების სიებს, რომელიც ამოქმედდება ნებისმიერი პაკეტისთვის, რომელიც არ მიეკუთვნება კომპლექტში განსაზღვრულ სხვა ელემენტებს. ცხრილი x { map blocklist { type ipv4_addr : verdict flags interval elements = { 192.168.0.0/16 : მიღება, 10.0.0.0/8 : მიღება, * : drop } } chain y { type filter hook prerouting priority 0; პოლიტიკის მიღება; ip saddr vmap @blocklist } }
• შესაძლებელია ცვლადების განსაზღვრა ბრძანების ხაზიდან „--define“ ოფციის გამოყენებით. # cat test.nft მაგიდა netdev x { chain y { type filter hook ingress devices = $dev priority 0; პოლიტიკის ვარდნა; } } # nft —define dev="{ eth0, eth1 }" -f test.nft
• რუქების სიებში ნებადართულია მუდმივი (stateful) გამონათქვამების გამოყენება: table inet filter { map portmap { type inet_service : verdict counter elements = { 22 counter packets 0 bytes 0 : jump ssh_input, * counter packets 0 bytes 0 : drop } } chain ssh_input { } chain wan_input { tcp dport vmap @portmap } chain prerouting { type filter hook prerouting priority raw; პოლიტიკის მიღება; iif vmap { "lo" : გადასვლა wan_input } } }
• დამატებულია "list hooks" ბრძანება მოცემული პაკეტების ოჯახის დამმუშავებლების სიის საჩვენებლად: # nft list hooks ip მოწყობილობა eth0 family ip { hook ingress { +0000000010 chain netdev xy [nf_tables] +0000000300 chain inet mw [nf_t inputs] { -0000000100 chain ip ab [nf_tables] +0000000300 chain inet mz [nf_tables] } hook forward { -0000000225 selinux_ipv4_forward 0000000000 chain ip 0000000225 outux]4 ჯაჭვი ip0000000225 -4. vXNUMX_output } hook postrouting { +XNUMX XNUMX selinux_ipvXNUMX_postroute } }
• რიგის ბლოკები იძლევა jhash, symhash და numgen გამონათქვამების გაერთიანებას პაკეტების რიგებში მომხმარებლის სივრცეში განაწილებისთვის. … რიგი symhash mod 65536 … რიგი დროშები გვერდის ავლით numgen inc mod 65536 … რიგი jhash oif . მეტა მარკის mod 32 "რიდი" ასევე შეიძლება გაერთიანდეს რუქების სიებთან, რათა აირჩიოთ რიგი მომხმარებლის სივრცეში თვითნებური კლავიშების საფუძველზე. ... რიგის დროშები გვერდის ავლით oifname რუკაზე { "eth0" : 0, "ppp0" : 2, "eth1" : 2 }
• შესაძლებელია ცვლადების გაფართოება, რომელიც მოიცავს კომპლექტის სიას რამდენიმე რუქაში. ინტერფეისების განსაზღვრა = { eth0, eth1 } ცხრილი ip x { ჯაჭვი y { ტიპის filter hook შეყვანის პრიორიტეტი 0; პოლიტიკის მიღება; iifname vmap { lo : მიღება, $interfaces : drop } } } # nft -f x.nft # nft list წესების ნაკრები ცხრილი ip x { chain y { type filter hook input priority 0; პოლიტიკის მიღება; iifname vmap { "lo" : მიღება, "eth0" : drop, "eth1" : drop } }
• ნებადართულია vmaps-ის (განაჩენის რუკის) გაერთიანება ინტერვალებით: # nft დაამატეთ წესი xy tcp dport . ip saddr vmap {1025-65535. 192.168.10.2: მიღება }
• გამარტივებული სინტაქსი NAT რუკებისთვის. ნებადართულია მისამართის დიაპაზონების მითითება: ... snat to ip saddr map { 10.141.11.4 : 192.168.2.2-192.168.2.4 } ან აშკარა IP მისამართები და პორტები: ... dnat to ip saddr map { 10.141.11.4:192.168.2.3. . 80 } ან IP დიაპაზონებისა და პორტების კომბინაციები: ... dnat to ip saddr . tcp dport რუკა {192.168.1.2. 80: 10.141.10.2-10.141.10.5. 8888-8999 }

წყარო: opennet.ru