nftables packet filter release 0.9.4

ຈັດພີມມາ ການປ່ອຍຕົວກອງແພັກເກັດ nftables 0.9.4, ການພັດທະນາເປັນການທົດແທນສໍາລັບ iptables, ip6table, arptables ແລະ ebtables ໂດຍ unifying packet filtering interfaces ສໍາລັບ IPv4, IPv6, ARP ແລະຂົວເຄືອຂ່າຍ. ຊຸດ nftables ປະກອບມີອົງປະກອບການກັ່ນຕອງແພັກເກັດທີ່ດໍາເນີນການຢູ່ໃນພື້ນທີ່ຂອງຜູ້ໃຊ້, ໃນຂະນະທີ່ການເຮັດວຽກໃນລະດັບ kernel ແມ່ນສະຫນອງໃຫ້ໂດຍລະບົບຍ່ອຍ nf_tables, ເຊິ່ງເປັນສ່ວນຫນຶ່ງຂອງ Linux kernel ນັບຕັ້ງແຕ່ການປ່ອຍ 3.13. ການປ່ຽນແປງທີ່ຈໍາເປັນສໍາລັບການປ່ອຍ nftables 0.9.4 ທີ່ຈະເຮັດວຽກແມ່ນລວມຢູ່ໃນສາຂາ kernel ໃນອະນາຄົດ. Linux 5.6.

ໃນລະດັບ kernel, ພຽງແຕ່ເປັນຕົວໂຕ້ຕອບແບບເອກະລາດຂອງໂປໂຕຄອນທົ່ວໄປທີ່ສະຫນອງຫນ້າທີ່ພື້ນຖານສໍາລັບການສະກັດຂໍ້ມູນຈາກແພັກເກັດ, ປະຕິບັດການດໍາເນີນງານຂອງຂໍ້ມູນ, ແລະການຄວບຄຸມການໄຫຼ. ກົດລະບຽບການກັ່ນຕອງດ້ວຍຕົນເອງແລະຕົວຈັດການສະເພາະໂປໂຕຄອນໄດ້ຖືກລວບລວມເຂົ້າໄປໃນ bytecode ຊ່ອງຜູ້ໃຊ້, ຫຼັງຈາກນັ້ນ bytecode ນີ້ຖືກໂຫລດເຂົ້າໄປໃນ kernel ໂດຍໃຊ້ການໂຕ້ຕອບ Netlink ແລະຖືກປະຕິບັດໃນ kernel ໃນເຄື່ອງ virtual ພິເສດທີ່ຄ້າຍຄືກັບ BPF (Berkeley Packet Filters). ວິທີການນີ້ເຮັດໃຫ້ມັນສາມາດຫຼຸດລົງຢ່າງຫຼວງຫຼາຍຂອງລະຫັດການກັ່ນຕອງທີ່ແລ່ນຢູ່ໃນລະດັບ kernel ແລະຍ້າຍຫນ້າທີ່ທັງຫມົດຂອງການແຍກກົດລະບຽບແລະເຫດຜົນຂອງການເຮັດວຽກກັບໂປໂຕຄອນເຂົ້າໄປໃນພື້ນທີ່ຂອງຜູ້ໃຊ້.

ນະວັດຕະກໍາຕົ້ນຕໍ:

• ສະຫນັບສະຫນູນສໍາລັບໄລຍະໃນການເຊື່ອມຕໍ່ (concatenation, ມັດທີ່ແນ່ນອນຂອງທີ່ຢູ່ແລະພອດທີ່ງ່າຍການປຽບທຽບ). ຕົວຢ່າງ, ສໍາລັບຊຸດ "ບັນຊີຂາວ" ທີ່ມີອົງປະກອບເປັນໄຟລ໌ແນບ, ການລະບຸທຸງ "ໄລຍະຫ່າງ" ຈະຊີ້ໃຫ້ເຫັນວ່າຊຸດດັ່ງກ່າວສາມາດປະກອບມີໄລຍະຕ່າງໆໃນໄຟລ໌ແນບ (ສໍາລັບໄຟລ໌ແນບ "ipv4_addr . ipv4_addr . inet_service" ກ່ອນຫນ້ານີ້ສາມາດເຮັດລາຍການທີ່ແນ່ນອນໄດ້. ການຈັບຄູ່ຂອງແບບຟອມ "192.168.10.35. 192.68.11.123", ແລະຕອນນີ້ທ່ານສາມາດລະບຸກຸ່ມທີ່ຢູ່ "80-192.168.10.35-192.168.10.40.

  ຕາຕະລາງ ip foo {
  ຕັ້ງບັນຊີຂາວ {
  ພິມ ipv4_addr . ipv4_addr. inet_service
  ຊ່ວງເວລາທຸງ
  ອົງປະກອບ = { 192.168.10.35-192.168.10.40 . 192.68.11.123-192.168.11.125. 80}
  }

  ແຖບໂສ້ {
  type filter hook prerouting priority filter; ນະໂຍບາຍຫຼຸດລົງ;
  ip saddr. ip ພໍ່. tcp dport @whitelist ຍອມຮັບ
  }
  }

• ໃນຊຸດແລະລາຍການແຜນທີ່, ມັນເປັນໄປໄດ້ທີ່ຈະໃຊ້ຄໍາສັ່ງ "typeof", ເຊິ່ງກໍານົດຮູບແບບຂອງອົງປະກອບໃນເວລາທີ່ຈັບຄູ່.
  ຕົວຢ່າງ:

  ຕາຕະລາງ ip foo {
  ຕັ້ງບັນຊີຂາວ {
  ປະເພດຂອງ ip saddr
  ອົງປະກອບ = { 192.168.10.35, 192.168.10.101, 192.168.10.135 }
  }

  ແຖບໂສ້ {
  type filter hook prerouting priority filter; ນະໂຍບາຍຫຼຸດລົງ;
  ip daddr @whitelist ຍອມຮັບ
  }
  }

  ຕາຕະລາງ ip foo {
  ແຜນທີ່ addr2mark {
  ປະເພດຂອງ ip saddr: ເຄື່ອງຫມາຍ meta
  ອົງປະກອບ = { 192.168.10.35 : 0x00000001, 192.168.10.135 : 0x00000002 }
  }
  }

• ເພີ່ມຄວາມສາມາດໃນການໃຊ້ການຮ່ວມໃນການຜູກມັດ NAT, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດລະບຸທີ່ຢູ່ແລະພອດໃນເວລາທີ່ກໍານົດການຫັນປ່ຽນ NAT ໂດຍອີງໃສ່ລາຍຊື່ແຜນທີ່ຫຼືຊຸດທີ່ມີຊື່:

  nft ເພີ່ມກົດລະບຽບ ip nat pre dnat ip addr . port to ip saddr map { 1.1.1.1 : 2.2.2.2 . ສາມສິບ }

  nft ເພີ່ມແຜນທີ່ ip nat ຈຸດຫມາຍປາຍທາງ {ປະເພດ ipv4_addr . inet_service: ipv4_addr. inet_service \\; }
  nft ເພີ່ມກົດລະບຽບ ip nat pre dnat ip addr . port to ip saddr. tcp dport ແຜນທີ່ @destinations

• ສະຫນັບສະຫນູນການເລັ່ງຮາດແວທີ່ມີບາງການດໍາເນີນງານການກັ່ນຕອງປະຕິບັດໂດຍບັດເຄືອຂ່າຍ. ການເລັ່ງແມ່ນເປີດໃຊ້ຜ່ານ ethtool utility (“ethtool -K eth0 hw-tc-offload on”), ຫຼັງຈາກນັ້ນມັນຖືກເປີດໃຊ້ໃນ nftables ສໍາລັບລະບົບຕ່ອງໂສ້ຕົ້ນຕໍໂດຍໃຊ້ທຸງ "offload". ເມື່ອໃຊ້ Linux kernel 5.6, ການເລັ່ງຮາດແວໄດ້ຮັບການສະຫນັບສະຫນູນສໍາລັບການຈັບຄູ່ພາກສະຫນາມ header ແລະການກວດສອບການໂຕ້ຕອບຂາເຂົ້າປະສົມປະສານກັບການຮັບ, ການຍົກເລີກ, duplicating (dup), ແລະການສົ່ງຕໍ່ (fwd) packets. ໃນຕົວຢ່າງຂ້າງລຸ່ມນີ້, ການປະຕິບັດງານຂອງການຫຼຸດລົງແພັກເກັດທີ່ມາຈາກທີ່ຢູ່ 192.168.30.20 ແມ່ນປະຕິບັດຢູ່ໃນລະດັບບັດເຄືອຂ່າຍ, ໂດຍບໍ່ມີການສົ່ງແພັກເກັດໄປຫາແກ່ນ:

  # cat file.nft
  ຕາຕະລາງ netdev x {
  ໂສ້ y {
  type filter hook ingress ອຸປະກອນ eth0 ບູລິມະສິດ 10; ທຸງ offload;
  ip saddr 192.168.30.20 ຫຼຸດລົງ
  }
  }
  # nft -f file.nft

• ການປັບປຸງຂໍ້ມູນກ່ຽວກັບສະຖານທີ່ຂອງຄວາມຜິດພາດໃນກົດລະບຽບ.

  # nft ລຶບກົດລະບຽບ ip yz handle 7
  ຜິດພາດ: ບໍ່ສາມາດປະມວນຜົນກົດລະບຽບ: ບໍ່ມີໄຟລ໌ ຫຼືໄດເລກະທໍລີດັ່ງກ່າວ
  ລຶບກົດລະບຽບ ip yz handle 7
  ^

  # nft ລຶບກົດລະບຽບ ip xx handle 7
  ຜິດພາດ: ບໍ່ສາມາດປະມວນຜົນກົດລະບຽບ: ບໍ່ມີໄຟລ໌ ຫຼືໄດເລກະທໍລີດັ່ງກ່າວ
  ລຶບກົດລະບຽບ ip xx handle 7
  ^

  # nft ລຶບຕາຕະລາງ twst
  ຜິດພາດ: ບໍ່ມີໄຟລ໌ ຫຼືໄດເລກະທໍລີດັ່ງກ່າວ; ເຈົ້າໝາຍເຖິງຕາຕະລາງ ‘test' ໃນ family ip ບໍ?
  ລຶບຕາຕະລາງ twst
  ^^^^

  ຕົວຢ່າງທໍາອິດສະແດງໃຫ້ເຫັນວ່າຕາຕະລາງ "y" ບໍ່ໄດ້ຢູ່ໃນລະບົບ, ອັນທີສອງທີ່ຕົວຈັດການ "7" ຫາຍໄປ, ແລະອັນທີສາມທີ່ການເຕືອນພິມພິມຖືກສະແດງເມື່ອພິມຊື່ຕາຕະລາງ.

• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການກວດສອບການໂຕ້ຕອບສໍາລອງໂດຍການລະບຸ "meta sdif" ຫຼື "meta sdifname":

  ... meta sdifname vrf1 ...

• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການປະຕິບັດການປ່ຽນຂວາຫຼືຊ້າຍ. ຕົວຢ່າງ, ເພື່ອປ່ຽນປ້າຍແພັກເກັດທີ່ມີຢູ່ແລ້ວປະໄວ້ 1 ບິດ ແລະຕັ້ງບິດນ້ອຍເປັນ 1:

  … meta mark ຕັ້ງເຄື່ອງໝາຍ meta lshift 1 ຫຼື 0x1…

• ປະຕິບັດທາງເລືອກ "-V" ເພື່ອສະແດງຂໍ້ມູນສະບັບຂະຫຍາຍ.

  # nft -V
  nftables v0.9.4 (Jive at Five)
  cli:readline
  json: ແມ່ນແລ້ວ
  minigmp: ບໍ່
  libxtables: ແມ່ນແລ້ວ

• ຕອນນີ້ຕ້ອງລະບຸຕົວເລືອກແຖວຄຳສັ່ງກ່ອນຄຳສັ່ງ. ຕົວຢ່າງ, ທ່ານຈໍາເປັນຕ້ອງລະບຸ "nft -a list ruleset", ແລະແລ່ນ "nft list ruleset -a" ຈະເຮັດໃຫ້ມີຂໍ້ຜິດພາດ.

  ແຫຼ່ງຂໍ້ມູນ: opennet.ru