nftables packet filter release 0.9.9

ການປ່ອຍຕົວກອງ packet nftables 0.9.9 ໄດ້ຖືກຈັດພີມມາ, unifying packet filtering interfaces ສໍາລັບ IPv4, IPv6, ARP ແລະຂົວເຄືອຂ່າຍ (ມີຈຸດປະສົງເພື່ອທົດແທນ iptables, ip6table, arptables ແລະ ebtables). ໃນເວລາດຽວກັນ, ການປ່ອຍຫ້ອງສະຫມຸດ companion libnftnl 1.2.0 ໄດ້ຖືກຈັດພີມມາ, ສະຫນອງ API ລະດັບຕ່ໍາສໍາລັບການພົວພັນກັບລະບົບຍ່ອຍ nf_tables. ການປ່ຽນແປງທີ່ຕ້ອງການສໍາລັບການປ່ອຍ nftables 0.9.9 ເຮັດວຽກແມ່ນລວມຢູ່ໃນ Linux kernel 5.13-rc1.

ຊຸດ nftables ປະກອບມີອົງປະກອບການກັ່ນຕອງແພັກເກັດທີ່ດໍາເນີນການຢູ່ໃນພື້ນທີ່ຂອງຜູ້ໃຊ້, ໃນຂະນະທີ່ການເຮັດວຽກໃນລະດັບ kernel ແມ່ນສະຫນອງໃຫ້ໂດຍລະບົບຍ່ອຍ nf_tables, ເຊິ່ງເປັນສ່ວນຫນຶ່ງຂອງ Linux kernel ນັບຕັ້ງແຕ່ການປ່ອຍ 3.13. ລະດັບ kernel ສະຫນອງພຽງແຕ່ສ່ວນຕິດຕໍ່ແບບເອກະລາດຂອງໂປໂຕຄອນທົ່ວໄປທີ່ສະຫນອງຫນ້າທີ່ພື້ນຖານສໍາລັບການສະກັດຂໍ້ມູນຈາກແພັກເກັດ, ປະຕິບັດການຂໍ້ມູນ, ແລະການຄວບຄຸມການໄຫຼ.

ກົດລະບຽບການກັ່ນຕອງແລະຕົວຈັດການສະເພາະຂອງໂປໂຕຄອນໄດ້ຖືກລວບລວມເຂົ້າໄປໃນ bytecode ໃນພື້ນທີ່ຜູ້ໃຊ້, ຫຼັງຈາກນັ້ນ bytecode ນີ້ຖືກໂຫລດເຂົ້າໄປໃນ kernel ໂດຍໃຊ້ການໂຕ້ຕອບ Netlink ແລະຖືກປະຕິບັດໃນ kernel ໃນເຄື່ອງ virtual ພິເສດທີ່ລະນຶກເຖິງ BPF (Berkeley Packet Filters). ວິທີການນີ້ຊ່ວຍໃຫ້ທ່ານສາມາດຫຼຸດລົງຢ່າງຫຼວງຫຼາຍຂອງລະຫັດການກັ່ນຕອງທີ່ເຮັດວຽກຢູ່ໃນລະດັບແກ່ນແລະຍ້າຍຫນ້າທີ່ທັງຫມົດຂອງກົດລະບຽບການແຍກແລະເຫດຜົນສໍາລັບການເຮັດວຽກກັບໂປໂຕຄອນເຂົ້າໄປໃນພື້ນທີ່ຂອງຜູ້ໃຊ້.

ນະວັດຕະກໍາຕົ້ນຕໍ:

• ຄວາມສາມາດໃນການຍ້າຍການປະມວນຜົນ flowtable ໄປຫາດ້ານ adapter ເຄືອຂ່າຍໄດ້ຖືກປະຕິບັດ, ເປີດໃຊ້ໂດຍໃຊ້ທຸງ 'offload'. Flowtable ແມ່ນກົນໄກສໍາລັບການເພີ່ມປະສິດທິພາບຂອງເສັ້ນທາງຂອງການປ່ຽນເສັ້ນທາງຂອງແພັກເກັດ, ໃນນັ້ນເສັ້ນທາງທີ່ສົມບູນຂອງລະບົບຕ່ອງໂສ້ການປຸງແຕ່ງກົດລະບຽບທັງຫມົດແມ່ນໃຊ້ກັບແພັກເກັດທໍາອິດເທົ່ານັ້ນ, ແລະແພັກເກັດອື່ນໆທັງຫມົດທີ່ສົ່ງຕໍ່ໂດຍກົງ. table ip global { flowtable f { hook ingress priority filter + 1 devices = { lan3, lan0, wan } flags offload } chain forward { type filter hook forward priority filter; ນະໂຍບາຍຍອມຮັບ; ip protocol { tcp, udp } flow add @f } chain post { type nat hook postrouting priority filter; ນະໂຍບາຍຍອມຮັບ; oifname "wan" masquerade } }
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການຕິດທຸງເຈົ້າຂອງກັບຕາຕະລາງເພື່ອຮັບປະກັນການນໍາໃຊ້ສະເພາະຂອງຕາຕະລາງໂດຍຂະບວນການ. ເມື່ອຂະບວນການຢຸດຕິ, ຕາຕະລາງທີ່ກ່ຽວຂ້ອງກັບມັນຈະຖືກລຶບໂດຍອັດຕະໂນມັດ. ຂໍ້ມູນກ່ຽວກັບຂະບວນການແມ່ນສະແດງຢູ່ໃນກົດລະບຽບ dump ໃນຮູບແບບຂອງຄໍາເຫັນ: ຕາຕະລາງ ip x { # progname nft flags owner chain y { type filter hook input priority filter; ນະໂຍບາຍຍອມຮັບ; counter packets 1 bytes 309 } }
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບຂໍ້ກໍານົດຂອງ IEEE 802.1ad (VLAN stacking ຫຼື QinQ), ເຊິ່ງກໍານົດວິທີການສໍາລັບການປ່ຽນແທັບ VLAN ຫຼາຍເຂົ້າໄປໃນກອບ Ethernet ດຽວ. ຕົວຢ່າງ, ເພື່ອກວດເບິ່ງປະເພດຂອງກອບ Ethernet ພາຍນອກ 8021ad ແລະ vlan id=342, ທ່ານສາມາດນໍາໃຊ້ການກໍ່ສ້າງ ... ປະເພດ ether 802.1ad vlan id 342 ເພື່ອກວດເບິ່ງປະເພດພາຍນອກຂອງກອບ Ethernet 8021ad / vlan id=1, nested 802.1. q/vlan id=2 ແລະເພີ່ມເຕີມ IP packet encapsulation: ... ether type 8021ad vlan id 1 vlan type 8021q vlan id 2 vlan type ip counter
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການຄຸ້ມຄອງຊັບພະຍາກອນໂດຍໃຊ້ cgroups hierarchy unified v2. ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນລະຫວ່າງ cgroups v2 ແລະ v1 ແມ່ນການໃຊ້ ລຳ ດັບ cgroups ທົ່ວໄປ ສຳ ລັບຊັບພະຍາກອນທຸກປະເພດ, ແທນທີ່ຈະເປັນລຳດັບຊັ້ນແຍກຕ່າງຫາກ ສຳ ລັບການຈັດສັນຊັບພະຍາກອນ CPU, ຄວບຄຸມການບໍລິໂພກຄວາມ ຈຳ, ແລະ ສຳ ລັບ I / O. ຕົວຢ່າງ, ເພື່ອກວດເບິ່ງວ່າບັນພະບຸລຸດຂອງເຕົ້າຮັບໃນລະດັບທໍາອິດ cgroupv2 ກົງກັບຫນ້າກາກ "system.slice", ທ່ານສາມາດນໍາໃຊ້ການກໍ່ສ້າງ: ... socket cgroupv2 ລະດັບ 1 "system.slice"
• ເພີ່ມຄວາມສາມາດໃນການກວດສອບອົງປະກອບຂອງແພັກເກັດ SCTP (ຫນ້າທີ່ຕ້ອງການສໍາລັບການນີ້ຈະປາກົດຢູ່ໃນ Linux 5.14 kernel). ຕົວຢ່າງ, ເພື່ອກວດເບິ່ງວ່າ packet ມີ chunk ທີ່ມີ type 'data' ແລະ field 'type': ... sctp chunk data available ... sctp chunk data type 0
• ການປະຕິບັດການປະຕິບັດການໂຫຼດກົດລະບຽບໄດ້ຖືກເລັ່ງປະມານສອງເທື່ອໂດຍໃຊ້ທຸງ "-f". ຜົນຜະລິດຂອງບັນຊີລາຍຊື່ກົດລະບຽບຍັງໄດ້ຮັບການເລັ່ງລັດ.
• ແບບຟອມທີ່ຫນາແຫນ້ນສໍາລັບການກວດສອບວ່າບິດທຸງຖືກສະຫນອງໃຫ້. ສໍາ​ລັບ​ຕົວ​ຢ່າງ​, ເພື່ອ​ກວດ​ກາ​ເບິ່ງ​ວ່າ bits ສະ​ຖາ​ນະ​ພາບ snat ແລະ dnat ບໍ່​ໄດ້​ກໍາ​ນົດ​, ທ່ານ​ສາ​ມາດ​ລະ​ບຸ​ວ່າ​: ... ສະ​ຖາ​ນະ​ການ ct ! snat,dnat ເພື່ອກວດເບິ່ງວ່າ syn bit ຖືກກໍານົດໄວ້ໃນ bitmask syn, ack: ... tcp flags syn / syn,ack ເພື່ອກວດເບິ່ງວ່າ fin ແລະ rst bits ບໍ່ໄດ້ຕັ້ງຢູ່ໃນ bitmask syn,ack,fin,rst: ... tcp ທຸງ = fin,rst / syn,ack,fin,rst
• ອະ​ນຸ​ຍາດ​ໃຫ້ "ຄໍາ​ຕັດ​ສິນ​" ຄໍາ​ນິ​ຍາມ​ໃນ​ການ​ກໍາ​ນົດ / ປະ​ເພດ​ແຜນ​ທີ່​: ເພີ່ມ​ແຜນ​ທີ່ xm { typeof iifname . ip protocol th dport : verdict ;}

ແຫຼ່ງຂໍ້ມູນ: opennet.ru