ការចេញផ្សាយតម្រងកញ្ចប់ព័ត៌មាន nftables 0.9.3

បោះពុម្ពផ្សាយ ការចេញផ្សាយតម្រងកញ្ចប់ nftables 0.9.3, развивающегося в качестве замены iptables, ip6table, arptables и ebtables за счёт унификации интерфейсов фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов. В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. Необходимые для работы выпуска nftables 0.9.3 изменения включены в состав будущей ветки ядра Linux 5.5.

កម្រិតខឺណែលផ្តល់តែចំណុចប្រទាក់ឯករាជ្យនៃពិធីការទូទៅដែលផ្តល់មុខងារជាមូលដ្ឋានសម្រាប់ការទាញយកទិន្នន័យពីកញ្ចប់ព័ត៌មាន ប្រតិបត្តិការទិន្នន័យ និងការគ្រប់គ្រងលំហូរ។ តក្កវិជ្ជាត្រងខ្លួនវាផ្ទាល់ និងអ្នកដោះស្រាយពិធីការជាក់លាក់ត្រូវបានចងក្រងជា bytecode ក្នុងចន្លោះអ្នកប្រើប្រាស់ បន្ទាប់មក bytecode នេះត្រូវបានផ្ទុកទៅក្នុងខឺណែលដោយប្រើចំណុចប្រទាក់ Netlink និងប្រតិបត្តិក្នុងម៉ាស៊ីននិម្មិតពិសេសដែលនឹកឃើញដល់ BPF (Berkeley Packet Filters)។ វិធីសាស្រ្តនេះអនុញ្ញាតឱ្យអ្នកកាត់បន្ថយយ៉ាងខ្លាំងនូវទំហំនៃកូដត្រងដែលកំពុងដំណើរការនៅកម្រិតខឺណែល ហើយផ្លាស់ទីមុខងារទាំងអស់នៃច្បាប់ញែក និងតក្កវិជ្ជាសម្រាប់ធ្វើការជាមួយពិធីការទៅក្នុងទំហំអ្នកប្រើប្រាស់។

ការច្នៃប្រឌិតសំខាន់ៗ៖

• Поддержка сопоставления пакетов по времени. Можно определить как диапазоны времени и дат, в которых будет срабатывать правило, так и настроить срабатывание в отдельные дни недели. Также добавлена новая опция «-T» для вывода эпохального времени в секундах.

  meta time \»2019-12-24 16:00\» — \»2020-01-02 7:00\»
  meta hour \»17:00\» — \»19:00\»
  meta day \»Fri\»

• Поддержка восстановления и сохранения меток SELinux (secmark).

  ct secmark set meta secmark
  meta secmark set ct secmark

• Поддержка map-списков synproxy, позволяющих определять более одного правила на бэкенд.

  តារាង ip foo {
  synproxy https-synproxy {
  mss 1460
  wscale 7
  timestamp sack-perm
  }

  synproxy other-synproxy {
  mss 1460
  wscale 5
  }

  chain pre {
  ប្រភេទ ទំពក់ តម្រង ការពារ អាទិភាព ឆៅ; គោលនយោបាយទទួលយក;
  tcp dport 8888 tcp flags syn notrack
  }

  របារខ្សែសង្វាក់ {
  ប្រភេទតម្រង តម្រងអាទិភាព ឆ្ពោះទៅមុខ; គោលនយោបាយទទួលយក;
  ct state invalid,untracked synproxy name ip saddr map { 192.168.1.0/24 : «https-synproxy», 192.168.2.0/24 : «other-synproxy» }
  }
  }

• Возможность динамического удаления элементов set-наборов из правил обработки пакетов.

  nft add rule … delete @set5 { ip6 saddr . ip6 daddr }

• Поддержка сопоставления VLAN по идентификатору и протоколу, определённых в метаданных интерфейса сетевого моста;

  meta ibrpvid 100
  meta ibrvproto vlan

• Опция «-t» («—terse») для исключения элементов set-наборов при отображении правил. При выполнении «nft -t list ruleset» будет выведено:

  តារាង ip x {
  កំណត់ y {
  type ipv4_addr
  }
  }

  А при «nft list ruleset»

  តារាង ip x {
  កំណត់ y {
  type ipv4_addr
  elements = { 192.168.10.2, 192.168.20.1,
  192.168.4.4, 192.168.2.34 }
  }
  }

• Возможность указания более одного устройства в цепочках netdev (работает только с ядром 5.5) для объединения типовых правил фильтрации.

  add table netdev x
  add chain netdev x y { \
  type filter hook ingress devices = { eth0, eth1 } priority 0;
  }

• Возможность добавления описаний типов данных.

  # nft describe ipv4_addr
  datatype ipv4_addr (IPv4 address) (basetype integer), 32 bits

• Возможность сборки CLI-интерфейса с библиотекой linenoise вместо libreadline.

  ./configure —with-cli=linenoise

ប្រភព: opennet.ru