nftables packet filter release 0.9.3

ຈັດພີມມາ ການປ່ອຍຕົວກອງແພັກເກັດ nftables 0.9.3, ເຊິ່ງກຳລັງຖືກພັດທະນາຂຶ້ນມາເພື່ອທົດແທນ iptables, ip6table, arptables, ແລະ ebtables ໂດຍການລວມອິນເຕີເຟດການກັ່ນຕອງແພັກເກັດສຳລັບ IPv4, IPv6, ARP, ແລະບຣິດເຄືອຂ່າຍເຂົ້າກັນ. ຊຸດ nftables ປະກອບມີອົງປະກອບການກັ່ນຕອງແພັກເກັດທີ່ເຮັດວຽກໃນພື້ນທີ່ຜູ້ໃຊ້, ໃນຂະນະທີ່ຟັງຊັນລະດັບເຄີເນລແມ່ນສະໜອງໃຫ້ໂດຍລະບົບຍ່ອຍ nf_tables, ເຊິ່ງເປັນສ່ວນໜຶ່ງຂອງເຄີເນລ. Linux ເລີ່ມຕົ້ນດ້ວຍລຸ້ນ 3.13, ການປ່ຽນແປງທີ່ຕ້ອງການສຳລັບ nftables 0.9.3 ເພື່ອໃຫ້ເຮັດວຽກໄດ້ແມ່ນລວມຢູ່ໃນສາຂາ kernel ທີ່ຈະມາເຖິງ. Linux 5.5​.

ລະດັບ kernel ສະຫນອງພຽງແຕ່ສ່ວນຕິດຕໍ່ແບບເອກະລາດຂອງໂປໂຕຄອນທົ່ວໄປທີ່ສະຫນອງຫນ້າທີ່ພື້ນຖານສໍາລັບການສະກັດຂໍ້ມູນຈາກແພັກເກັດ, ປະຕິບັດການຂໍ້ມູນ, ແລະການຄວບຄຸມການໄຫຼ. ເຫດຜົນການກັ່ນຕອງຕົວມັນເອງແລະຕົວຈັດການສະເພາະຂອງໂປໂຕຄອນໄດ້ຖືກລວບລວມເຂົ້າໄປໃນ bytecode ໃນພື້ນທີ່ຜູ້ໃຊ້, ຫຼັງຈາກນັ້ນ bytecode ນີ້ຖືກໂຫລດເຂົ້າໄປໃນ kernel ໂດຍໃຊ້ການໂຕ້ຕອບ Netlink ແລະຖືກປະຕິບັດໃນເຄື່ອງ virtual ພິເສດທີ່ລະນຶກເຖິງ BPF (Berkeley Packet Filters). ວິທີການນີ້ຊ່ວຍໃຫ້ທ່ານສາມາດຫຼຸດລົງຢ່າງຫຼວງຫຼາຍຂອງລະຫັດການກັ່ນຕອງທີ່ເຮັດວຽກຢູ່ໃນລະດັບແກ່ນແລະຍ້າຍຫນ້າທີ່ທັງຫມົດຂອງກົດລະບຽບການແຍກແລະເຫດຜົນສໍາລັບການເຮັດວຽກກັບໂປໂຕຄອນເຂົ້າໄປໃນພື້ນທີ່ຂອງຜູ້ໃຊ້.

ນະວັດຕະກໍາຕົ້ນຕໍ:

• ຮອງຮັບການຈັບຄູ່ແພັກເກັດຕາມເວລາ. ທ່ານ​ສາ​ມາດ​ກໍາ​ນົດ​ທັງ​ສອງ​ເວ​ລາ​ແລະ​ໄລ​ຍະ​ວັນ​ທີ່​ກົດ​ລະ​ບຽບ​ຈະ​ໄດ້​ຮັບ​ການ​ກະ​ຕຸ້ນ​, ແລະ​ກໍາ​ນົດ​ການ triggering ໃນ​ແຕ່​ລະ​ມື້​ຂອງ​ອາ​ທິດ​. ນອກຈາກນີ້ຍັງໄດ້ເພີ່ມທາງເລືອກໃຫມ່ "-T" ເພື່ອສະແດງເວລາ epochal ເປັນວິນາທີ.

  meta time \»2019-12-24 16:00\" — \» 2020-01-02 7:00\"
  ເມຕາຊົ່ວໂມງ \"17:00\" - \"19:00\"
  meta day \"ວັນສຸກ\"

• ຮອງຮັບການຟື້ນຟູ ແລະ ບັນທຶກແທັກ SELinux (ເຊັກມາກ).

  ct secmark ຕັ້ງ meta secmark
  meta secmark ຕັ້ງ ct secmark

• ສະຫນັບສະຫນູນບັນຊີລາຍຊື່ແຜນທີ່ synproxy, ຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດຫຼາຍກ່ວາຫນຶ່ງກົດລະບຽບຕໍ່ backend.

  ຕາຕະລາງ ip foo {
  synproxy https-synproxy {
  ມສ 1460
  ຂະໜາດ 7
  timestamp sack-perm
  }

  synproxy other-synproxy {
  ມສ 1460
  ຂະໜາດ 5
  }

  ໂສ້ກ່ອນ {
  type filter hook prerouting ບູລິມະສິດວັດຖຸດິບ; ຍອມຮັບນະໂຍບາຍ;
  tcp dport 8888 tcp flags syn notrack
  }

  ແຖບໂສ້ {
  type filter hook forward filter ບູລິມະສິດ; ຍອມຮັບນະໂຍບາຍ;
  ct state ບໍ່ຖືກຕ້ອງ, untracked synproxy name ip saddr map { 192.168.1.0/24 : “https-synproxy”, 192.168.2.0/24 : “other-synproxy” }
  }
  }

• ຄວາມສາມາດໃນການເອົາອົງປະກອບທີ່ກໍານົດໄວ້ຢ່າງໄດນາມິກອອກຈາກກົດລະບຽບການປຸງແຕ່ງແພັກເກັດ.

  nft ເພີ່ມກົດລະບຽບ ... ລຶບ @set5 { ip6 saddr . ip6 ພໍ່}

• ຮອງຮັບການສ້າງແຜນທີ່ VLAN ໂດຍ ID ແລະໂປຣໂຕຄໍທີ່ກຳນົດໄວ້ໃນ metadata ຂອງການໂຕ້ຕອບຂົວເຄືອຂ່າຍ;

  meta ibrpvid 100
  meta ibrvproto vlan

• ທາງເລືອກ "-t" ("--terse") ເພື່ອຍົກເວັ້ນອົງປະກອບຂອງຊຸດທີ່ກໍານົດໄວ້ໃນເວລາທີ່ສະແດງກົດລະບຽບ. ແລ່ນ "nft -t list ruleset" ຈະອອກມາ:

  ຕາຕະລາງ ip x {
  ຕັ້ງ y {
  ພິມ ipv4_addr
  }
  }

  ແລະດ້ວຍ "ກົດລະບຽບບັນຊີລາຍຊື່ nft"

  ຕາຕະລາງ ip x {
  ຕັ້ງ y {
  ພິມ ipv4_addr
  ອົງປະກອບ = { 192.168.10.2, 192.168.20.1,
  192.168.4.4, 192.168.2.34 }
  }
  }

• ຄວາມ​ສາ​ມາດ​ທີ່​ຈະ​ລະ​ບຸ​ຫຼາຍ​ກວ່າ​ຫນຶ່ງ​ອຸ​ປະ​ກອນ​ໃນ​ຕ່ອງ​ໂສ້ netdev (ໃຊ້​ໄດ້​ພຽງ​ແຕ່​ກັບ kernel 5.5​) ເພື່ອ​ປະ​ສົມ​ກົດ​ລະ​ບຽບ​ການ​ກັ່ນ​ຕອງ​ທົ່ວ​ໄປ​.

  ເພີ່ມຕາຕະລາງ netdev x
  ເພີ່ມຕ່ອງໂສ້ netdev xy { \
  type filter hook ingress devices = { eth0, eth1 } ບູລິມະສິດ 0;
  }

• ຄວາມສາມາດໃນການເພີ່ມລາຍລະອຽດຂອງປະເພດຂໍ້ມູນ.

  # nft ອະທິບາຍ ipv4_addr
  ປະເພດຂໍ້ມູນ ipv4_addr (ທີ່ຢູ່ IPv4) (ຈຳນວນເຕັມປະເພດຖານ), 32 ບິດ

• ຄວາມສາມາດໃນການສ້າງການໂຕ້ຕອບ CLI ກັບຫ້ອງສະຫມຸດ linenoise ແທນທີ່ຈະ libreadline.

  ./configure --with-cli=linenoise

ແຫຼ່ງຂໍ້ມູນ: opennet.ru