nftables packet filter release 1.0.0

ການປ່ອຍຕົວກອງ packet nftables 1.0.0 ໄດ້ຖືກຈັດພີມມາ, unifying packet filtering interfaces ສໍາລັບ IPv4, IPv6, ARP ແລະຂົວເຄືອຂ່າຍ (ມີຈຸດປະສົງເພື່ອທົດແທນ iptables, ip6table, arptables ແລະ ebtables). ການປ່ຽນແປງທີ່ຈໍາເປັນສໍາລັບການປ່ອຍ nftables 1.0.0 ເພື່ອເຮັດວຽກແມ່ນລວມຢູ່ໃນ Linux 5.13 kernel. ການປ່ຽນແປງທີ່ສໍາຄັນໃນຈໍານວນຮຸ່ນບໍ່ໄດ້ກ່ຽວຂ້ອງກັບການປ່ຽນແປງພື້ນຖານໃດໆ, ແຕ່ພຽງແຕ່ເປັນຜົນມາຈາກການສືບຕໍ່ທີ່ສອດຄ່ອງຂອງຕົວເລກໃນຫມາຍເລກທົດສະນິຍົມ (ການປ່ອຍທີ່ຜ່ານມາແມ່ນ 0.9.9).

ຊຸດ nftables ປະກອບມີອົງປະກອບການກັ່ນຕອງແພັກເກັດທີ່ດໍາເນີນການຢູ່ໃນພື້ນທີ່ຂອງຜູ້ໃຊ້, ໃນຂະນະທີ່ການເຮັດວຽກໃນລະດັບ kernel ແມ່ນສະຫນອງໃຫ້ໂດຍລະບົບຍ່ອຍ nf_tables, ເຊິ່ງເປັນສ່ວນຫນຶ່ງຂອງ Linux kernel ນັບຕັ້ງແຕ່ການປ່ອຍ 3.13. ລະດັບ kernel ສະຫນອງພຽງແຕ່ສ່ວນຕິດຕໍ່ແບບເອກະລາດຂອງໂປໂຕຄອນທົ່ວໄປທີ່ສະຫນອງຫນ້າທີ່ພື້ນຖານສໍາລັບການສະກັດຂໍ້ມູນຈາກແພັກເກັດ, ປະຕິບັດການຂໍ້ມູນ, ແລະການຄວບຄຸມການໄຫຼ.

ກົດລະບຽບການກັ່ນຕອງແລະຕົວຈັດການສະເພາະຂອງໂປໂຕຄອນໄດ້ຖືກລວບລວມເຂົ້າໄປໃນ bytecode ໃນພື້ນທີ່ຜູ້ໃຊ້, ຫຼັງຈາກນັ້ນ bytecode ນີ້ຖືກໂຫລດເຂົ້າໄປໃນ kernel ໂດຍໃຊ້ການໂຕ້ຕອບ Netlink ແລະຖືກປະຕິບັດໃນ kernel ໃນເຄື່ອງ virtual ພິເສດທີ່ລະນຶກເຖິງ BPF (Berkeley Packet Filters). ວິທີການນີ້ຊ່ວຍໃຫ້ທ່ານສາມາດຫຼຸດລົງຢ່າງຫຼວງຫຼາຍຂອງລະຫັດການກັ່ນຕອງທີ່ເຮັດວຽກຢູ່ໃນລະດັບແກ່ນແລະຍ້າຍຫນ້າທີ່ທັງຫມົດຂອງກົດລະບຽບການແຍກແລະເຫດຜົນສໍາລັບການເຮັດວຽກກັບໂປໂຕຄອນເຂົ້າໄປໃນພື້ນທີ່ຂອງຜູ້ໃຊ້.

ນະວັດຕະກໍາຕົ້ນຕໍ:

• ການສະຫນັບສະຫນູນ "*" ອົງປະກອບຫນ້າກາກໄດ້ຖືກເພີ່ມເຂົ້າໃນລາຍການທີ່ກໍານົດໄວ້, ເຊິ່ງຖືກກະຕຸ້ນສໍາລັບຊຸດໃດໆທີ່ບໍ່ຕົກຢູ່ພາຍໃຕ້ອົງປະກອບອື່ນໆທີ່ກໍານົດໄວ້ໃນຊຸດ. ຕາຕະລາງ x { map blocklist { type ipv4_addr : verdict flags interval elements = { 192.168.0.0/16 : accept, 10.0.0.0/8 : accept, * : drop } } chain y { type filter hook prerouting priority 0; ນະໂຍບາຍຍອມຮັບ; ip saddr vmap @blocklist } }
• ມັນເປັນໄປໄດ້ທີ່ຈະກໍານົດຕົວແປຈາກເສັ້ນຄໍາສັ່ງໂດຍໃຊ້ຕົວເລືອກ "--define". # cat test.nft ຕາຕະລາງ netdev x { chain y { type filter hook ingress devices = $dev priority 0; ນະໂຍບາຍຫຼຸດລົງ; } } # nft —define dev="{ eth0, eth1 }" -f test.nft
• ໃນລາຍການແຜນທີ່, ການນໍາໃຊ້ການສະແດງອອກຄົງທີ່ (ສະຖານະ) ແມ່ນອະນຸຍາດໃຫ້: ຕາຕະລາງ inet filter { map portmap { type inet_service : verdict counter elements = { 22 counter packets 0 bytes 0 : jump ssh_input, * counter packets 0 bytes 0 : drop } } chain ssh_input { } chain wan_input { tcp dport vmap @portmap } chain prerouting { type filter hook prerouting priority raw; ນະໂຍບາຍຍອມຮັບ; iif vmap { "lo" : jump wan_input } } }
• ເພີ່ມຄຳສັ່ງ "list hooks" ເພື່ອສະແດງລາຍຊື່ຕົວຈັດການສຳລັບຄອບຄົວແພັກເກັດທີ່ໃຫ້ໄວ້: # nft list hooks ip ອຸປະກອນ eth0 family ip { hook ingress { +0000000010 chain netdev xy [nf_tables] +0000000300 chain inet mw [nf_tables] } hook ingress { -0000000100 chain ip ab [nf_tables] +0000000300 chain inet mz [nf_tables] } hook forward { -0000000225 selinux_ipv4_forward 0000000000 chain ip ac [nf_tables 0000000225] 4_output } hook postrouting { +0000000225 4 selinux_ipvXNUMX_postroute } }
• ຕັນຄິວອະນຸຍາດໃຫ້ໃຊ້ jhash, symhash, ແລະ numgen ຮ່ວມກັນເພື່ອແຈກຢາຍແພັກເກັດໄປຫາຄິວໃນພື້ນທີ່ຜູ້ໃຊ້. … ຄິວເພື່ອ symhash mod 65536 … ຄິວທຸງຂ້າມໄປຫາ numgen inc mod 65536 … ຄິວໄປຫາ jhash oif . meta mark mod 32 "queue" ຍັງສາມາດຖືກລວມເຂົ້າກັບລາຍການແຜນທີ່ເພື່ອເລືອກແຖວໃນພື້ນທີ່ຂອງຜູ້ໃຊ້ໂດຍອີງໃສ່ປຸ່ມທີ່ມັກ. ... ທຸງແຖວຂ້າມໄປຫາແຜນທີ່ oifname { "eth0" : 0, "ppp0" : 2, "eth1" : 2 }
• ມັນເປັນໄປໄດ້ທີ່ຈະຂະຫຍາຍຕົວແປທີ່ປະກອບມີບັນຊີລາຍຊື່ທີ່ກໍານົດໄວ້ເຂົ້າໄປໃນແຜນທີ່ຫຼາຍ. ກໍານົດການໂຕ້ຕອບ = { eth0, eth1 } ຕາຕະລາງ ip x { chain y { type filter hook input priority 0; ນະໂຍບາຍຍອມຮັບ; iifname vmap { lo : accept, $interfaces : drop } } } # nft -f x.nft # nft list ruleset table ip x { chain y { type filter hook input priority 0; ນະໂຍບາຍຍອມຮັບ; iifname vmap { "lo" : ຍອມຮັບ, "eth0" : drop, "eth1" : drop } } }
• ການສົມທົບ vmaps (ແຜນທີ່ຄໍາຕັດສິນ) ໃນໄລຍະຫ່າງແມ່ນອະນຸຍາດໃຫ້: # nft ເພີ່ມກົດລະບຽບ xy tcp dport . ip saddr vmap { 1025-65535 . 192.168.10.2 : ຍອມຮັບ }
• syntax ງ່າຍສໍາລັບແຜນທີ່ NAT. ອະນຸຍາດໃຫ້ລະບຸໄລຍະທີ່ຢູ່: ... snat to ip saddr map { 10.141.11.4 : 192.168.2.2-192.168.2.4 } ຫຼື ທີ່ຢູ່ IP ຢ່າງຊັດເຈນ ແລະພອດ: ... dnat ຫາ ip saddr ແຜນທີ່ { 10.141.11.4 : . 192.168.2.3 } ຫຼືການປະສົມປະສານຂອງຊ່ວງ IP ແລະພອດ: ... dnat ກັບ ip saddr . tcp ແຜນທີ່ dport { 80 . 192.168.1.2: 80-10.141.10.2. 10.141.10.5-8888 }

ແຫຼ່ງຂໍ້ມູນ: opennet.ru