nftables packet filter release 0.9.9

ຕົວກອງແພັກເກັດ nftables 0.9.9 ໄດ້ຖືກປ່ອຍອອກມາແລ້ວ. ມັນລວມອິນເຕີເຟດການກັ່ນຕອງແພັກເກັດສຳລັບ IPv4, IPv6, ARP, ແລະບຣິດເຄືອຂ່າຍ (ແນໃສ່ເປັນການທົດແທນ iptables, ip6table, arptables, ແລະ ebtables). ຫ້ອງສະໝຸດ libnftnl 1.2.0 ທີ່ມາພ້ອມ, ເຊິ່ງສະໜອງ API ລະດັບຕ່ຳສຳລັບການພົວພັນກັບລະບົບຍ່ອຍ nf_tables, ໄດ້ຖືກປ່ອຍອອກມາພ້ອມໆກັນ. ການປ່ຽນແປງທີ່ຕ້ອງການສຳລັບ nftables 0.9.9 ໄດ້ຖືກລວມເຂົ້າໃນ kernel. Linux 5.13-rc1.

ຊຸດ nftables ປະກອບດ້ວຍອົງປະກອບການກັ່ນຕອງແພັກເກັດທີ່ເຮັດວຽກໃນພື້ນທີ່ຜູ້ໃຊ້, ໃນຂະນະທີ່ວຽກງານລະດັບເຄີເນລແມ່ນສະໜອງໃຫ້ໂດຍລະບົບຍ່ອຍ nf_tables, ເຊິ່ງເປັນສ່ວນໜຶ່ງຂອງເຄີເນລ. Linux ນັບຕັ້ງແຕ່ລຸ້ນ 3.13, ມີພຽງແຕ່ອິນເຕີເຟດທີ່ບໍ່ຂຶ້ນກັບໂປຣໂຕຄອນທົ່ວໄປເທົ່ານັ້ນທີ່ຖືກສະໜອງໃຫ້ຢູ່ໃນລະດັບເຄີເນລ, ເຊິ່ງສະໜອງໜ້າທີ່ພື້ນຖານສຳລັບການສະກັດຂໍ້ມູນຈາກແພັກເກັດ, ການປະຕິບັດການຂໍ້ມູນ, ແລະ ການຄວບຄຸມການໄຫຼ.

ກົດລະບຽບການກັ່ນຕອງເອງ ແລະ ຕົວຈັດການສະເພາະໂປຣໂຕຄອນແມ່ນຖືກລວບລວມເຂົ້າໃນ bytecode ໃນພື້ນທີ່ຜູ້ໃຊ້, ຫຼັງຈາກນັ້ນ bytecode ນີ້ຖືກໂຫຼດເຂົ້າໄປໃນ kernel ໂດຍໃຊ້ອິນເຕີເຟດ Netlink ແລະ ຖືກປະຕິບັດໃນ kernel ໃນພິເສດ ເຄື່ອງ virtual, ເຮັດໃຫ້ນຶກເຖິງ BPF (Berkeley Packet Filters). ວິທີການນີ້ຊ່ວຍໃຫ້ສາມາດຫຼຸດຜ່ອນຂະໜາດຂອງລະຫັດການກັ່ນຕອງທີ່ເຮັດວຽກຢູ່ໃນລະດັບ kernel ໄດ້ຢ່າງຫຼວງຫຼາຍ ແລະ ຍ້າຍການວິເຄາະກົດລະບຽບ ແລະ ເຫດຜົນຂອງໂປໂຕຄອນທັງໝົດເຂົ້າໄປໃນພື້ນທີ່ຂອງຜູ້ໃຊ້.

ນະວັດຕະກໍາຕົ້ນຕໍ:

• ຄວາມສາມາດໃນການຍ້າຍການປະມວນຜົນ flowtable ໄປຫາດ້ານ adapter ເຄືອຂ່າຍໄດ້ຖືກປະຕິບັດ, ເປີດໃຊ້ໂດຍໃຊ້ທຸງ 'offload'. Flowtable ແມ່ນກົນໄກສໍາລັບການເພີ່ມປະສິດທິພາບຂອງເສັ້ນທາງຂອງການປ່ຽນເສັ້ນທາງຂອງແພັກເກັດ, ໃນນັ້ນເສັ້ນທາງທີ່ສົມບູນຂອງລະບົບຕ່ອງໂສ້ການປຸງແຕ່ງກົດລະບຽບທັງຫມົດແມ່ນໃຊ້ກັບແພັກເກັດທໍາອິດເທົ່ານັ້ນ, ແລະແພັກເກັດອື່ນໆທັງຫມົດທີ່ສົ່ງຕໍ່ໂດຍກົງ. table ip global { flowtable f { hook ingress priority filter + 1 devices = { lan3, lan0, wan } flags offload } chain forward { type filter hook forward priority filter; ນະໂຍບາຍຍອມຮັບ; ip protocol { tcp, udp } flow add @f } chain post { type nat hook postrouting priority filter; ນະໂຍບາຍຍອມຮັບ; oifname "wan" masquerade } }
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການຕິດທຸງເຈົ້າຂອງກັບຕາຕະລາງເພື່ອຮັບປະກັນການນໍາໃຊ້ສະເພາະຂອງຕາຕະລາງໂດຍຂະບວນການ. ເມື່ອຂະບວນການຢຸດຕິ, ຕາຕະລາງທີ່ກ່ຽວຂ້ອງກັບມັນຈະຖືກລຶບໂດຍອັດຕະໂນມັດ. ຂໍ້ມູນກ່ຽວກັບຂະບວນການແມ່ນສະແດງຢູ່ໃນກົດລະບຽບ dump ໃນຮູບແບບຂອງຄໍາເຫັນ: ຕາຕະລາງ ip x { # progname nft flags owner chain y { type filter hook input priority filter; ນະໂຍບາຍຍອມຮັບ; counter packets 1 bytes 309 } }
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບຂໍ້ກໍານົດຂອງ IEEE 802.1ad (VLAN stacking ຫຼື QinQ), ເຊິ່ງກໍານົດວິທີການສໍາລັບການປ່ຽນແທັບ VLAN ຫຼາຍເຂົ້າໄປໃນກອບ Ethernet ດຽວ. ຕົວຢ່າງ, ເພື່ອກວດເບິ່ງປະເພດຂອງກອບ Ethernet ພາຍນອກ 8021ad ແລະ vlan id=342, ທ່ານສາມາດນໍາໃຊ້ການກໍ່ສ້າງ ... ປະເພດ ether 802.1ad vlan id 342 ເພື່ອກວດເບິ່ງປະເພດພາຍນອກຂອງກອບ Ethernet 8021ad / vlan id=1, nested 802.1. q/vlan id=2 ແລະເພີ່ມເຕີມ IP packet encapsulation: ... ether type 8021ad vlan id 1 vlan type 8021q vlan id 2 vlan type ip counter
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການຄຸ້ມຄອງຊັບພະຍາກອນໂດຍໃຊ້ cgroups hierarchy unified v2. ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນລະຫວ່າງ cgroups v2 ແລະ v1 ແມ່ນການໃຊ້ ລຳ ດັບ cgroups ທົ່ວໄປ ສຳ ລັບຊັບພະຍາກອນທຸກປະເພດ, ແທນທີ່ຈະເປັນລຳດັບຊັ້ນແຍກຕ່າງຫາກ ສຳ ລັບການຈັດສັນຊັບພະຍາກອນ CPU, ຄວບຄຸມການບໍລິໂພກຄວາມ ຈຳ, ແລະ ສຳ ລັບ I / O. ຕົວຢ່າງ, ເພື່ອກວດເບິ່ງວ່າບັນພະບຸລຸດຂອງເຕົ້າຮັບໃນລະດັບທໍາອິດ cgroupv2 ກົງກັບຫນ້າກາກ "system.slice", ທ່ານສາມາດນໍາໃຊ້ການກໍ່ສ້າງ: ... socket cgroupv2 ລະດັບ 1 "system.slice"
• Добавлена возможность проверки составных частей пакетов SCTP (необходимая для работы функциональность появится в ядре Linux 5.14). Например, для проверки наличия в пакете chunk-а с типом ‘data’ и полем ‘type’: … sctp chunk data exists … sctp chunk data type 0
• ການປະຕິບັດການປະຕິບັດການໂຫຼດກົດລະບຽບໄດ້ຖືກເລັ່ງປະມານສອງເທື່ອໂດຍໃຊ້ທຸງ "-f". ຜົນຜະລິດຂອງບັນຊີລາຍຊື່ກົດລະບຽບຍັງໄດ້ຮັບການເລັ່ງລັດ.
• ແບບຟອມທີ່ຫນາແຫນ້ນສໍາລັບການກວດສອບວ່າບິດທຸງຖືກສະຫນອງໃຫ້. ສໍາ​ລັບ​ຕົວ​ຢ່າງ​, ເພື່ອ​ກວດ​ກາ​ເບິ່ງ​ວ່າ bits ສະ​ຖາ​ນະ​ພາບ snat ແລະ dnat ບໍ່​ໄດ້​ກໍາ​ນົດ​, ທ່ານ​ສາ​ມາດ​ລະ​ບຸ​ວ່າ​: ... ສະ​ຖາ​ນະ​ການ ct ! snat,dnat ເພື່ອກວດເບິ່ງວ່າ syn bit ຖືກກໍານົດໄວ້ໃນ bitmask syn, ack: ... tcp flags syn / syn,ack ເພື່ອກວດເບິ່ງວ່າ fin ແລະ rst bits ບໍ່ໄດ້ຕັ້ງຢູ່ໃນ bitmask syn,ack,fin,rst: ... tcp ທຸງ = fin,rst / syn,ack,fin,rst
• ອະ​ນຸ​ຍາດ​ໃຫ້ "ຄໍາ​ຕັດ​ສິນ​" ຄໍາ​ນິ​ຍາມ​ໃນ​ການ​ກໍາ​ນົດ / ປະ​ເພດ​ແຜນ​ທີ່​: ເພີ່ມ​ແຜນ​ທີ່ xm { typeof iifname . ip protocol th dport : verdict ;}

ແຫຼ່ງຂໍ້ມູນ: opennet.ru