nftables പാക്കറ്റ് ഫിൽട്ടർ 0.9.1 റിലീസ്

ഒരു വർഷത്തെ വികസനത്തിന് ശേഷം അവതരിപ്പിച്ചു പാക്കറ്റ് ഫിൽട്ടർ റിലീസ് nftables 0.9.1, IPv6, IPv4, ARP, നെറ്റ്‌വർക്ക് ബ്രിഡ്ജുകൾ എന്നിവയ്‌ക്കായുള്ള പാക്കറ്റ് ഫിൽട്ടറിംഗ് ഇൻ്റർഫേസുകൾ ഏകീകരിക്കുന്നതിലൂടെ iptables, ip6table, arptables, ebtables എന്നിവയ്‌ക്ക് പകരമായി വികസിപ്പിക്കുന്നു. nftables പാക്കേജിൽ യൂസർ സ്‌പെയ്‌സിൽ പ്രവർത്തിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ ഘടകങ്ങൾ ഉൾപ്പെടുന്നു, അതേസമയം കേർണൽ-ലെവൽ വർക്ക് നൽകുന്നത് 3.13 റിലീസ് മുതൽ Linux കേർണലിൻ്റെ ഭാഗമായ nf_tables സബ്‌സിസ്റ്റമാണ്.

പാക്കറ്റുകളിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നതിനും ഡാറ്റ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിനും ഫ്ലോ കൺട്രോൾ ചെയ്യുന്നതിനുമുള്ള അടിസ്ഥാന പ്രവർത്തനങ്ങൾ നൽകുന്ന ഒരു ജനറിക് പ്രോട്ടോക്കോൾ-സ്വതന്ത്ര ഇൻ്റർഫേസ് മാത്രമാണ് കേർണൽ ലെവൽ നൽകുന്നത്.
ഫിൽട്ടറിംഗ് ലോജിക്കും പ്രോട്ടോക്കോൾ-നിർദ്ദിഷ്ട ഹാൻഡ്‌ലറുകളും യൂസർ സ്‌പെയ്‌സിൽ ബൈറ്റ്‌കോഡിലേക്ക് കംപൈൽ ചെയ്യുന്നു, അതിനുശേഷം ഈ ബൈറ്റ്‌കോഡ് നെറ്റ്‌ലിങ്ക് ഇൻ്റർഫേസ് ഉപയോഗിച്ച് കേർണലിലേക്ക് ലോഡുചെയ്യുകയും ബിപിഎഫിനെ (ബെർക്ക്‌ലി പാക്കറ്റ് ഫിൽട്ടറുകൾ) അനുസ്മരിപ്പിക്കുന്ന ഒരു പ്രത്യേക വെർച്വൽ മെഷീനിൽ എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന ഫിൽട്ടറിംഗ് കോഡിൻ്റെ വലുപ്പം ഗണ്യമായി കുറയ്ക്കുന്നതിനും പ്രോട്ടോക്കോളുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നതിനുള്ള പാഴ്സിംഗ് നിയമങ്ങളുടെയും ലോജിക്കുകളുടെയും എല്ലാ പ്രവർത്തനങ്ങളും യൂസർ സ്പേസിലേക്ക് നീക്കാൻ ഈ സമീപനം നിങ്ങളെ അനുവദിക്കുന്നു.

പ്രധാന കണ്ടുപിടുത്തങ്ങൾ:

• IPsec പിന്തുണ, പാക്കറ്റ്, IPsec അഭ്യർത്ഥന ഐഡി, SPI (സെക്യൂരിറ്റി പാരാമീറ്റർ സൂചിക) ടാഗ് എന്നിവയെ അടിസ്ഥാനമാക്കി ടണൽ വിലാസങ്ങളുടെ പൊരുത്തപ്പെടുത്തൽ അനുവദിക്കുന്നു. ഉദാഹരണത്തിന്,

  ... ipsec in ip saddr 192.168.1.0/24
  ... ipsec in spi 1-65536

  ഒരു റൂട്ട് IPsec ടണലിലൂടെ കടന്നുപോകുന്നുണ്ടോ എന്ന് പരിശോധിക്കാനും കഴിയും. ഉദാഹരണത്തിന്, IPSec വഴിയല്ല ട്രാഫിക് തടയാൻ:

  … ഫിൽട്ടർ ഔട്ട്പുട്ട് RT ipsec ഡ്രോപ്പ് കാണുന്നില്ല

• IGMP-നുള്ള പിന്തുണ (ഇൻ്റർനെറ്റ് ഗ്രൂപ്പ് മാനേജ്മെൻ്റ് പ്രോട്ടോക്കോൾ). ഉദാഹരണത്തിന്, ഇൻകമിംഗ് IGMP ഗ്രൂപ്പ് അംഗത്വ അഭ്യർത്ഥനകൾ നിരസിക്കാൻ നിങ്ങൾക്ക് ഒരു നിയമം ഉപയോഗിക്കാം

  nft ആഡ് റൂൾ netdev foo bar igmp ടൈപ്പ് മെമ്പർഷിപ്പ്-ക്വറി കൌണ്ടർ ഡ്രോപ്പ്

• സംക്രമണ ശൃംഖലകൾ നിർവചിക്കുന്നതിന് വേരിയബിളുകൾ ഉപയോഗിക്കുന്നതിനുള്ള സാധ്യത (ജമ്പ് / ഗോട്ടോ). ഉദാഹരണത്തിന്:

  dest = ber എന്ന് നിർവ്വചിക്കുക
  റൂൾ ചേർക്കുക ip foo ബാർ ജമ്പ് $dest

• തലക്കെട്ടിലെ TTL മൂല്യങ്ങളെ അടിസ്ഥാനമാക്കി ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങൾ (OS ഫിംഗർപ്രിൻ്റ്) തിരിച്ചറിയുന്നതിനുള്ള മാസ്കുകൾക്കുള്ള പിന്തുണ. ഉദാഹരണത്തിന്, അയച്ചയാളുടെ OS അടിസ്ഥാനമാക്കി പാക്കറ്റുകൾ അടയാളപ്പെടുത്തുന്നതിന്, നിങ്ങൾക്ക് കമാൻഡ് ഉപയോഗിക്കാം:

  ... മെറ്റാ മാർക്ക് സെറ്റ് osf ttl നെയിം മാപ്പ് ഒഴിവാക്കുക { "Linux" : 0x1,
  "വിൻഡോസ്": 0x2,
  "MacOS": 0x3,
  "അജ്ഞാതം" : 0x0}
  ... osf ttl "Linux:4.20" പതിപ്പ് ഒഴിവാക്കുക

• അയച്ചയാളുടെ ARP വിലാസവും ടാർഗെറ്റ് സിസ്റ്റത്തിൻ്റെ IPv4 വിലാസവും പൊരുത്തപ്പെടുത്താനുള്ള കഴിവ്. ഉദാഹരണത്തിന്, 192.168.2.1 എന്ന വിലാസത്തിൽ നിന്ന് അയച്ച ARP പാക്കറ്റുകളുടെ കൗണ്ടർ വർദ്ധിപ്പിക്കുന്നതിന്, നിങ്ങൾക്ക് ഇനിപ്പറയുന്ന നിയമം ഉപയോഗിക്കാം:

  ടേബിൾ ആർപ് x {
  ചെയിൻ y {
  തരം ഫിൽട്ടർ ഹുക്ക് ഇൻപുട്ട് മുൻഗണന ഫിൽട്ടർ; നയം സ്വീകരിക്കുക;
  arp saddr ip 192.168.2.1 കൌണ്ടർ പാക്കറ്റുകൾ 1 ബൈറ്റുകൾ 46
  }
  }

• ഒരു പ്രോക്സി (tproxy) വഴി അഭ്യർത്ഥനകൾ സുതാര്യമായി കൈമാറുന്നതിനുള്ള പിന്തുണ. ഉദാഹരണത്തിന്, പോർട്ട് 80-ലേക്കുള്ള കോളുകൾ പ്രോക്സി പോർട്ട് 8080-ലേക്ക് റീഡയറക്‌ട് ചെയ്യാൻ:

  പട്ടിക ip x {
  ചെയിൻ y {
  തരം ഫിൽട്ടർ ഹുക്ക് മുൻകരുതൽ മുൻഗണന -150; നയം സ്വീകരിക്കുക;
  tcp dport 80 tproxy to :8080
  }
  }

• SO_MARK മോഡിൽ setsockopt() വഴി സെറ്റ് മാർക്ക് കൂടുതൽ നേടാനുള്ള കഴിവുള്ള സോക്കറ്റുകൾ അടയാളപ്പെടുത്തുന്നതിനുള്ള പിന്തുണ. ഉദാഹരണത്തിന്:

  പട്ടിക inet x {
  ചെയിൻ y {
  തരം ഫിൽട്ടർ ഹുക്ക് മുൻകരുതൽ മുൻഗണന -150; നയം സ്വീകരിക്കുക;
  tcp dport 8080 മാർക്ക് സെറ്റ് സോക്കറ്റ് മാർക്ക്
  }
  }

• ചെയിനുകൾക്കുള്ള മുൻഗണനാ ടെക്സ്റ്റ് നാമങ്ങൾ വ്യക്തമാക്കുന്നതിനുള്ള പിന്തുണ. ഉദാഹരണത്തിന്:

  nft ആഡ് ചെയിൻ ip x raw { ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് മുൻഗണന റോ }
  nft ആഡ് ചെയിൻ ip x ഫിൽട്ടർ { ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് പ്രിറൗട്ടിംഗ് മുൻഗണന ഫിൽട്ടർ; }
  nft ആഡ് ചെയിൻ ip x filter_later { ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് മുൻഗണന ഫിൽട്ടർ + 10; }

• SELinux ടാഗുകൾക്കുള്ള പിന്തുണ (സെക്മാർക്ക്). ഉദാഹരണത്തിന്, ഒരു SELinux സന്ദർഭത്തിൽ "sshtag" ടാഗ് നിർവചിക്കുന്നതിന്, നിങ്ങൾക്ക് പ്രവർത്തിപ്പിക്കാം:

  nft സെക്മാർക്ക് inet ഫിൽട്ടർ sshtag "system_u:object_r:ssh_server_packet_t:s0" ചേർക്കുക

  തുടർന്ന് നിയമങ്ങളിൽ ഈ ലേബൽ ഉപയോഗിക്കുക:

  nft ആഡ് റൂൾ inet ഫിൽട്ടർ ഇൻപുട്ട് tcp dport 22 മെറ്റാ സെക്മാർക്ക് സെറ്റ് "sshtag"

  nft മാപ്പ് ചേർക്കുക inet ഫിൽട്ടർ secmapping { type inet_service : secmark; }
  nft ആഡ് എലമെൻ്റ് inet ഫിൽട്ടർ സെക്മാപ്പിംഗ് {22 : "sshtag"}
  nft ആഡ് റൂൾ inet ഫിൽട്ടർ ഇൻപുട്ട് മെറ്റാ സെക്മാർക്ക് സെറ്റ് tcp dport മാപ്പ് @secmapping

• /etc/services ഫയലിൽ നിർവചിച്ചിരിക്കുന്നതുപോലെ, ടെക്സ്റ്റ് രൂപത്തിൽ പ്രോട്ടോക്കോളുകൾക്ക് നൽകിയിരിക്കുന്ന പോർട്ടുകൾ വ്യക്തമാക്കാനുള്ള കഴിവ്. ഉദാഹരണത്തിന്:

  nft ആഡ് റൂൾ xy tcp dport "ssh"
  nft ലിസ്റ്റ് റൂൾസെറ്റ് -എൽ
  പട്ടിക x {
  ചെയിൻ y {
  പങ്ക് € |
  tcp dport "ssh"
  }
  }

• നെറ്റ്‌വർക്ക് ഇൻ്റർഫേസിൻ്റെ തരം പരിശോധിക്കാനുള്ള കഴിവ്. ഉദാഹരണത്തിന്:

  meta iifkind "vrf" സ്വീകരിക്കുക

• "ഡൈനാമിക്" ഫ്ലാഗ് വ്യക്തമായി വ്യക്തമാക്കിയുകൊണ്ട് സെറ്റുകളുടെ ഉള്ളടക്കങ്ങൾ ഡൈനാമിക് ആയി അപ്ഡേറ്റ് ചെയ്യുന്നതിനുള്ള മെച്ചപ്പെട്ട പിന്തുണ. ഉദാഹരണത്തിന്, ഉറവിട വിലാസം ചേർക്കുന്നതിന് "s" സെറ്റ് അപ്ഡേറ്റ് ചെയ്യുന്നതിനും 30 സെക്കൻഡ് നേരത്തേക്ക് പാക്കറ്റുകൾ ഇല്ലെങ്കിൽ എൻട്രി പുനഃസജ്ജമാക്കുന്നതിനും:

  പട്ടിക x ചേർക്കുക
  സെറ്റ് xs ചേർക്കുക {ipv4_addr എന്ന് ടൈപ്പ് ചെയ്യുക; വലിപ്പം 128; സമയപരിധി 30സെ; ഫ്ലാഗുകൾ ഡൈനാമിക്; }
  ചെയിൻ xy ചേർക്കുക {ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് ഇൻപുട്ട് മുൻഗണന 0; }
  റൂൾ xy അപ്ഡേറ്റ് @s { ip saddr } ചേർക്കുക

• ഒരു പ്രത്യേക കാലഹരണപ്പെടൽ വ്യവസ്ഥ സജ്ജീകരിക്കാനുള്ള കഴിവ്. ഉദാഹരണത്തിന്, പോർട്ട് 8888-ൽ എത്തുന്ന പാക്കറ്റുകളുടെ ഡിഫോൾട്ട് ടൈംഔട്ട് അസാധുവാക്കാൻ, നിങ്ങൾക്ക് വ്യക്തമാക്കാം:

  ടേബിൾ ഐപി ഫിൽട്ടർ {
  ct കാലഹരണപ്പെടൽ ആക്രമണാത്മക-tcp {
  പ്രോട്ടോക്കോൾ tcp;
  l3proto ip;
  നയം = {സ്ഥാപിച്ചത്: 100, close_wait: 4, അടയ്ക്കുക: 4}
  }
  ചെയിൻ ഔട്ട്പുട്ട് {
  പങ്ക് € |
  tcp dport 8888 ct ടൈംഔട്ട് സെറ്റ് "അഗ്രസീവ്-ടിസിപി"
  }
  }

• inet കുടുംബത്തിനുള്ള NAT പിന്തുണ:

  പട്ടിക ഇനെറ്റ് നാറ്റ് {
  പങ്ക് € |
  ip6 daddr dead::2::1 dnat to dead:2::99
  }

• അക്ഷരത്തെറ്റുകൾ കാരണം മെച്ചപ്പെട്ട പിശക് റിപ്പോർട്ടിംഗ് കഴിവുകൾ:

  nft ആഡ് ചെയിൻ ഫിൽട്ടർ ടെസ്റ്റ്

  പിശക്: അത്തരം ഫയലോ ഡയറക്ടറിയോ ഇല്ല; ഫാമിലി ഐപിയിലെ ടേബിൾ "ഫിൽറ്റർ" എന്നാണോ നിങ്ങൾ ഉദ്ദേശിച്ചത്?
  ചെയിൻ ഫിൽട്ടർ ടെസ്റ്റ് ചേർക്കുക
  ^^^^^^

• സെറ്റുകളിൽ ഇൻ്റർഫേസ് പേരുകൾ വ്യക്തമാക്കാനുള്ള കഴിവ്:

  sc { സജ്ജമാക്കുക
  inet_service എന്ന് ടൈപ്പ് ചെയ്യുക. എങ്കിൽ പേര്
  ഘടകങ്ങൾ = { "ssh" . "eth0"}
  }

• ഫ്ലോ ടേബിൾ നിയമങ്ങളുടെ വാക്യഘടന പുതുക്കി:

  nft പട്ടിക x ചേർക്കുക
  nft ഫ്ലോടേബിൾ ചേർക്കുക x അടി {ഹുക്ക് ഇൻഗ്രെസ്സ് മുൻഗണന 0; ഉപകരണങ്ങൾ = { eth0, wlan0 }; }
  പങ്ക് € |
  nft ആഡ് റൂൾ x ഫോർവേഡ് ഐപി പ്രോട്ടോക്കോൾ {tcp, udp } ഫ്ലോ ചേർക്കുക @ft

• മെച്ചപ്പെടുത്തിയ JSON പിന്തുണ.

അവലംബം: opennet.ru