nftables packet filter release 1.0.1

nftables 1.0.1, ເຊິ່ງເປັນເຟຣມເວີກການກັ່ນຕອງແພັກເກັດທີ່ລວມອິນເຕີເຟດການກັ່ນຕອງແພັກເກັດສຳລັບ IPv4, IPv6, ARP, ແລະບຣິດເຄືອຂ່າຍ, ໄດ້ຖືກປ່ອຍອອກມາແລ້ວ (ແນໃສ່ເປັນການທົດແທນ iptables, ip6table, arptables, ແລະ ebtables). ການປ່ຽນແປງທີ່ຕ້ອງການສຳລັບ nftables 1.0.1 ໄດ້ຖືກລວມເຂົ້າໃນ kernel. Linux 5.16-rc1.

ຊຸດ nftables ປະກອບດ້ວຍອົງປະກອບການກັ່ນຕອງແພັກເກັດທີ່ເຮັດວຽກໃນພື້ນທີ່ຜູ້ໃຊ້, ໃນຂະນະທີ່ວຽກງານລະດັບເຄີເນລແມ່ນສະໜອງໃຫ້ໂດຍລະບົບຍ່ອຍ nf_tables, ເຊິ່ງເປັນສ່ວນໜຶ່ງຂອງເຄີເນລ. Linux ນັບຕັ້ງແຕ່ລຸ້ນ 3.13, ມີພຽງແຕ່ອິນເຕີເຟດທີ່ບໍ່ຂຶ້ນກັບໂປຣໂຕຄອນທົ່ວໄປເທົ່ານັ້ນທີ່ຖືກສະໜອງໃຫ້ຢູ່ໃນລະດັບເຄີເນລ, ເຊິ່ງສະໜອງໜ້າທີ່ພື້ນຖານສຳລັບການສະກັດຂໍ້ມູນຈາກແພັກເກັດ, ການປະຕິບັດການຂໍ້ມູນ, ແລະ ການຄວບຄຸມການໄຫຼ.

ກົດລະບຽບການກັ່ນຕອງເອງ ແລະ ຕົວຈັດການສະເພາະໂປຣໂຕຄອນແມ່ນຖືກລວບລວມເຂົ້າໃນ bytecode ໃນພື້ນທີ່ຜູ້ໃຊ້, ຫຼັງຈາກນັ້ນ bytecode ນີ້ຖືກໂຫຼດເຂົ້າໄປໃນ kernel ໂດຍໃຊ້ອິນເຕີເຟດ Netlink ແລະ ຖືກປະຕິບັດໃນ kernel ໃນພິເສດ ເຄື່ອງ virtual, ເຮັດໃຫ້ນຶກເຖິງ BPF (Berkeley Packet Filters). ວິທີການນີ້ຊ່ວຍໃຫ້ສາມາດຫຼຸດຜ່ອນຂະໜາດຂອງລະຫັດການກັ່ນຕອງທີ່ເຮັດວຽກຢູ່ໃນລະດັບ kernel ໄດ້ຢ່າງຫຼວງຫຼາຍ ແລະ ຍ້າຍການວິເຄາະກົດລະບຽບ ແລະ ເຫດຜົນຂອງໂປໂຕຄອນທັງໝົດເຂົ້າໄປໃນພື້ນທີ່ຂອງຜູ້ໃຊ້.

ນະວັດຕະກໍາຕົ້ນຕໍ:

• ຫຼຸດຜ່ອນການບໍລິໂພກຫນ່ວຍຄວາມຈໍາໃນເວລາທີ່ໂຫລດຊຸດຂະຫນາດໃຫຍ່ແລະລາຍການແຜນທີ່.
• ການໂຫຼດຊຸດ ແລະລາຍການແຜນທີ່ຄືນໃໝ່ໄດ້ຖືກເລັ່ງແລ້ວ.
• ຜົນຜະລິດຂອງຕາຕະລາງແລະຕ່ອງໂສ້ທີ່ເລືອກໃນຊຸດກົດລະບຽບຂະຫນາດໃຫຍ່ໄດ້ຖືກເລັ່ງ. ຕົວຢ່າງ, ເວລາປະຕິບັດຄໍາສັ່ງ "nft list rules" ເພື່ອສະແດງຊຸດຂອງກົດລະບຽບທີ່ມີ 100 ພັນແຖວແມ່ນ 3.049 ວິນາທີ, ແລະເມື່ອອອກພຽງແຕ່ຕາຕະລາງ nat ແລະການກັ່ນຕອງ ("nft list table nat", "nft list table filter. ”) ຖືກຫຼຸດລົງເປັນ 1.969 ແລະ 0.697 ວິນາທີ.
• ການປະຕິບັດການສອບຖາມທີ່ມີທາງເລືອກ "--terse" ໄດ້ຖືກເລັ່ງໃນເວລາທີ່ການປຸງແຕ່ງກົດລະບຽບທີ່ມີຊຸດຂະຫນາດໃຫຍ່ - ແລະລາຍຊື່ແຜນທີ່.
• ມັນເປັນໄປໄດ້ທີ່ຈະກັ່ນຕອງການຈະລາຈອນຈາກລະບົບຕ່ອງໂສ້ "egress", ເຊິ່ງຖືກປຸງແຕ່ງໃນລະດັບດຽວກັນກັບຕົວຈັດການ egress ໃນຕ່ອງໂສ້ netdev (egress hook), i.e. ໃນຂັ້ນຕອນເມື່ອຄົນຂັບໄດ້ຮັບແພັກເກັດຈາກ kernel network stack. ຕາຕະລາງ netdev filter { chain egress { type filter hook egress devices = { eth0, eth1 } priority 0; meta priority set ip saddr map { 192.168.10.2 : abcd:2, 192.168.10.3 : abcd:3 } } }
• ອະ​ນຸ​ຍາດ​ໃຫ້​ການ​ຈັບ​ຄູ່​ແລະ​ການ​ດັດ​ແກ້​ຂອງ bytes ໃນ​ສ່ວນ​ຫົວ​ແລະ​ເນື້ອ​ໃນ​ຂອງ Packet ໃນ​ການ​ຊົດ​ເຊີຍ​ທີ່​ໃຫ້​. # nft ເພີ່ມກົດ xy @ih,32,32 0x14000000 counter #nft add rule xy @ih,32,32 set 0x14000000 counter

ແຫຼ່ງຂໍ້ມູນ: opennet.ru