nftables пакет филтер 1.0.6 ослободување

Објавено е објавувањето на пакетните филтри nftables 1.0.6, обединувајќи ги интерфејсите за филтрирање пакети за IPv4, IPv6, ARP и мрежни мостови (наменети да ги заменат iptables, ip6table, arptables и ebtables). Пакетот nftables вклучува компоненти за филтер за пакети кои работат во корисничкиот простор, додека работата на ниво на јадрото е обезбедена од потсистемот nf_tables, кој е дел од кернелот Линукс од објавувањето 3.13. Нивото на јадрото обезбедува само генерички интерфејс независен од протокол кој обезбедува основни функции за извлекување податоци од пакети, извршување операции со податоци и контрола на протокот.

Самите правила за филтрирање и ракувачите специфични за протоколот се компајлираат во бајтекод на кориснички простор, по што овој бајтекод се вчитува во кернелот со помош на интерфејсот на Netlink и се извршува во кернелот во специјална виртуелна машина што личи на BPF (Berkeley Packet Filters). Овој пристап овозможува значително да се намали големината на кодот за филтрирање што работи на ниво на јадрото и да се преместат сите функции на правилата за парсирање и логиката на работа со протоколи во корисничкиот простор.

Главни промени:

• Оптимизатор на правила, повикан кога е одредена опцијата „-o/-optimize“, има автоматско пакување на правилата со нивно комбинирање и претворање во списоци со мапи и множества. На пример, правила # cat ruleset.nft табела ip x { chain y { type filter hook влезен приоритетен филтер; пад на политиката; мета iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 прифати мета iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.4 прифати мета iifname eth1 ip saddr 1.1.1.2. ip saddr 2.2.3.0 .24 ip daddr 1-1.1.1.2 прифати мета iifname eth2.2.4.0 ip saddr 2.2.4.10 ip daddr 2 прифати } } по извршувањето на „nft -o -c -f ruleset.nft“ ќе се конвертираат во следниве nft:1.1.1.3:2.2.2.5-4: meta iifname eth17 ip saddr 74 ip daddr 1 прифати правила.nft:1.1.1.1:2.2.2.3-5: meta iifname eth17 ip saddr 74 ip daddr.1. : 1.1.1.2:2.2.2.4-6: meta iifname eth17 ip saddr 77 ip daddr 1/1.1.1.2 прифати правила.nft:2.2.3.0:24-7: meta iifname eth17 ip saddr 83 ip daddr 1/1.1.1.2. прифати правила.nft:2.2.4.0:2.2.4.10-8: мета iifname eth17 ip saddr 74 ip daddr 2 прифати во: iifname . ip saddr. ip daddr { eth1.1.1.3. 2.2.2.5. 1, eth1.1.1.1. 2.2.2.3. 1, eth1.1.1.2. 2.2.2.4. 1/1.1.1.2, eth2.2.3.0. 24. 1-1.1.1.2, eth2.2.4.0. 2.2.4.10. 2 } прифати
• Оптимизаторот исто така може да ги конвертира правилата кои веќе користат едноставни списоци со множества во покомпактна форма, на пример правилата: # cat ruleset.nft табела ip филтер { chain input { type filter hook влезен приоритетен филтер; пад на политиката; iifname „еве“ прифати ct состојба, поврзана прифати коментар „Во сообраќајот ние потекнуваме, веруваме“ iifname „enp0s31f6“ ip saddr { 209.115.181.102, 216.197.228.230 } ip daddr 10.0.0.149ud123p .32768 прифати iifname "enp65535s0f31" ip saddr { 6, 64.59.144.17 } ip daddr 64.59.150.133 udp sport 10.0.0.149 udp dport 53-32768 прифатете ги правилата -exeftnc} с : ruleset.nft:65535:6-22: iifname "enp149s0f31" ip saddr {6, 209.115.181.102 } ip daddr 216.197.228.230 udp sport 10.0.0.149ft :123-32768 65535 : iifname "enp7s22f143" ip saddr { 0, 31 } ip daddr 6 udp sport 64.59.144.17 udp dport 64.59.150.133-10.0.0.149 прифати во: ip saddr. ИП тато. УДП спорт. udp dport {enp53s32768f65535. 0. 31. 6. 209.115.181.102-10.0.0.149, enp123s32768f65535. 0. 31. 6. 216.197.228.230-10.0.0.149, enp123s32768f65535. 0. 31. 6. 64.59.144.17-10.0.0.149, enp53s32768f65535. 0. 31. 6. 64.59.150.133-10.0.0.149 } прифати
• Решен е проблемот со генерирање бајтекод за спојување интервали кои користат типови со различен редослед на бајти, како што е IPv4 (редослед на мрежни бајти) и мета-ознака (редослед на системски бајти). табела ip x { map w { typeof ip saddr . мета ознака: пресуда означува интервал бројач елементи = {127.0.0.1-127.0.0.4. 0x123434-0xb00122: прифати, 192.168.0.10-192.168.1.20. 0x0000aa00-0x0000aaff : прифати, } } синџир k { тип приоритетен филтер за влез на кука за филтер; пад на политиката; ip saddr. мета ознака vmap @w } }
• Подобрена споредба на ретки протоколи кога се користат сурови изрази, на пример: meta l4proto 91 @th,400,16 0x0 прифати
• Проблемите со правилата за овозможување во интервали се решени: вметнете правило xy tcp sport { 3478-3497, 16384-16387 } бројач прифати
• JSON API е подобрен за да вклучи поддршка за изрази во списоци со множества и мапи.
• Екстензии на библиотеката nftables python овозможуваат вчитување на множества правила за обработка во режим на валидација („-c“) и додаваат поддршка за надворешна дефиниција на променливи.
• Додавањето коментари е дозволено во елементите на списокот со множества.
• Ограничувањето на стапката на бајти овозможува одредување на нулта вредност.

Извор: opennet.ru