nftables പാക്കറ്റ് ഫിൽട്ടർ 0.9.3 റിലീസ്

പ്രസിദ്ധീകരിച്ചു പാക്കറ്റ് ഫിൽട്ടർ റിലീസ് nftables 0.9.3, IPv6, IPv4, ARP, നെറ്റ്‌വർക്ക് ബ്രിഡ്ജുകൾ എന്നിവയ്‌ക്കായുള്ള പാക്കറ്റ് ഫിൽട്ടറിംഗ് ഇന്റർഫേസുകൾ ഏകീകരിക്കുന്നതിലൂടെ iptables, ip6table, arptables, ebtables എന്നിവയ്‌ക്ക് പകരമായി വികസിപ്പിക്കുന്നു. nftables പാക്കേജിൽ യൂസർ സ്പേസിൽ പ്രവർത്തിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ ഘടകങ്ങൾ ഉൾപ്പെടുന്നു, അതേസമയം കേർണൽ-ലെവൽ വർക്ക് നൽകുന്നത് 3.13 റിലീസ് മുതൽ Linux കേർണലിന്റെ ഭാഗമായ nf_tables സബ്സിസ്റ്റമാണ്. nftables 0.9.3 റിലീസ് പ്രവർത്തിക്കുന്നതിന് ആവശ്യമായ മാറ്റങ്ങൾ വരാനിരിക്കുന്ന Linux 5.5 കേർണൽ ബ്രാഞ്ചിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്.

പാക്കറ്റുകളിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നതിനും ഡാറ്റ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിനും ഫ്ലോ കൺട്രോൾ ചെയ്യുന്നതിനുമുള്ള അടിസ്ഥാന പ്രവർത്തനങ്ങൾ നൽകുന്ന ഒരു ജനറിക് പ്രോട്ടോക്കോൾ-സ്വതന്ത്ര ഇന്റർഫേസ് മാത്രമാണ് കേർണൽ ലെവൽ നൽകുന്നത്. ഫിൽട്ടറിംഗ് ലോജിക്കും പ്രോട്ടോക്കോൾ-നിർദ്ദിഷ്ട ഹാൻഡ്‌ലറുകളും യൂസർ സ്‌പെയ്‌സിൽ ബൈറ്റ്‌കോഡിലേക്ക് കംപൈൽ ചെയ്യുന്നു, അതിനുശേഷം ഈ ബൈറ്റ്‌കോഡ് നെറ്റ്‌ലിങ്ക് ഇന്റർഫേസ് ഉപയോഗിച്ച് കേർണലിലേക്ക് ലോഡുചെയ്യുകയും ബിപിഎഫിനെ അനുസ്മരിപ്പിക്കുന്ന ഒരു പ്രത്യേക വെർച്വൽ മെഷീനിൽ എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു (ബെർക്ക്‌ലി പാക്കറ്റ് ഫിൽട്ടറുകൾ). കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന ഫിൽട്ടറിംഗ് കോഡിന്റെ വലുപ്പം ഗണ്യമായി കുറയ്ക്കുന്നതിനും പ്രോട്ടോക്കോളുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നതിനുള്ള പാഴ്സിംഗ് നിയമങ്ങളുടെയും ലോജിക്കുകളുടെയും എല്ലാ പ്രവർത്തനങ്ങളും യൂസർ സ്പേസിലേക്ക് നീക്കാൻ ഈ സമീപനം നിങ്ങളെ അനുവദിക്കുന്നു.

പ്രധാന കണ്ടുപിടുത്തങ്ങൾ:

• സമയത്തിനനുസരിച്ച് പാക്കറ്റുകൾ പൊരുത്തപ്പെടുത്തുന്നതിനുള്ള പിന്തുണ. റൂൾ പ്രവർത്തനക്ഷമമാക്കുന്ന സമയ, തീയതി ശ്രേണികൾ നിങ്ങൾക്ക് നിർവ്വചിക്കാം, കൂടാതെ ആഴ്‌ചയിലെ വ്യക്തിഗത ദിവസങ്ങളിൽ ട്രിഗറിംഗ് കോൺഫിഗർ ചെയ്യാം. സെക്കന്റുകൾക്കുള്ളിൽ എപ്പോച്ചൽ സമയം പ്രദർശിപ്പിക്കുന്നതിന് "-T" എന്ന പുതിയ ഓപ്ഷനും ചേർത്തു.

  മെറ്റാ സമയം \»2019-12-24 16:00\" — \»2020-01-02 7:00\"
  മെറ്റാ മണിക്കൂർ \"17:00\" - \"19:00\"
  മെറ്റാ ഡേ \"വെള്ളി\"

• SELinux മാർക്കുകൾ വീണ്ടെടുക്കുന്നതിനും സംരക്ഷിക്കുന്നതിനുമുള്ള പിന്തുണ (സെക്മാർക്ക്).

  ct സെക്മാർക്ക് സെറ്റ് മെറ്റാ സെക്മാർക്ക്
  മെറ്റാ സെക്മാർക്ക് സെറ്റ് ct സെക്മാർക്ക്

• സിൻപ്രോക്സി മാപ്പ് ലിസ്റ്റുകൾക്കുള്ള പിന്തുണ, ഓരോ ബാക്കെൻഡിലും ഒന്നിലധികം നിയമങ്ങൾ നിർവചിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

  പട്ടിക ip foo {
  synproxy https-synproxy {
  mss 1460
  wscale 7
  ടൈംസ്റ്റാമ്പ് സാക്ക്-പെർം
  }

  synproxy other-synproxy {
  mss 1460
  wscale 5
  }

  ചെയിൻ പ്രീ {
  തരം ഫിൽട്ടർ ഹുക്ക് മുൻ‌ഗണന റോ നയം സ്വീകരിക്കുക;
  tcp dport 8888 tcp ഫ്ലാഗുകൾ syn notrack
  }

  ചെയിൻ ബാർ {
  തരം ഫിൽട്ടർ ഹുക്ക് ഫോർവേഡ് മുൻഗണന ഫിൽട്ടർ; നയം സ്വീകരിക്കുക;
  ct അവസ്ഥ അസാധുവാണ്, ട്രാക്ക് ചെയ്യപ്പെടാത്ത സിൻപ്രോക്സി നാമം ip saddr മാപ്പ് { 192.168.1.0/24 : “https-synproxy”, 192.168.2.0/24 : “other-synproxy” }
  }
  }

• പാക്കറ്റ് പ്രോസസ്സിംഗ് നിയമങ്ങളിൽ നിന്ന് സെറ്റ് ഘടകങ്ങൾ ചലനാത്മകമായി നീക്കം ചെയ്യാനുള്ള കഴിവ്.

  nft റൂൾ ചേർക്കുക... @set5 {ip6 saddr ഇല്ലാതാക്കുക. ip6 daddr}

• നെറ്റ്‌വർക്ക് ബ്രിഡ്ജ് ഇന്റർഫേസ് മെറ്റാഡാറ്റയിൽ നിർവചിച്ചിരിക്കുന്ന ഐഡിയും പ്രോട്ടോക്കോളും വഴി VLAN മാപ്പിംഗിനുള്ള പിന്തുണ;

  meta ibrpvid 100
  മെറ്റാ ibrvproto vlan

• നിയമങ്ങൾ പ്രദർശിപ്പിക്കുമ്പോൾ സെറ്റ് സെറ്റുകളുടെ ഘടകങ്ങൾ ഒഴിവാക്കുന്നതിനുള്ള ഓപ്ഷൻ "-t" ("--terse"). "nft -t ലിസ്റ്റ് റൂൾസെറ്റ്" പ്രവർത്തിപ്പിക്കുന്നത് ഔട്ട്പുട്ട് ചെയ്യും:

  പട്ടിക ip x {
  സെറ്റ് y {
  ipv4_addr എന്ന് ടൈപ്പ് ചെയ്യുക
  }
  }

  കൂടാതെ "nft ലിസ്റ്റ് റൂൾസെറ്റ്"

  പട്ടിക ip x {
  സെറ്റ് y {
  ipv4_addr എന്ന് ടൈപ്പ് ചെയ്യുക
  ഘടകങ്ങൾ = { 192.168.10.2, 192.168.20.1,
  192.168.4.4, 192.168.2.34 }
  }
  }

• പൊതുവായ ഫിൽട്ടറിംഗ് നിയമങ്ങൾ സംയോജിപ്പിക്കുന്നതിന് നെറ്റ്‌ദേവ് ശൃംഖലകളിൽ ഒന്നിലധികം ഉപകരണങ്ങൾ വ്യക്തമാക്കാനുള്ള കഴിവ് (കേർണൽ 5.5-ൽ മാത്രം പ്രവർത്തിക്കുന്നു).

  പട്ടിക netdev x ചേർക്കുക
  netdev xy { \ ചെയിൻ ചേർക്കുക
  തരം ഫിൽട്ടർ ഹുക്ക് ഇൻഗ്രസ് ഉപകരണങ്ങൾ = { eth0, eth1 } മുൻഗണന 0;
  }

• ഡാറ്റ തരങ്ങളുടെ വിവരണങ്ങൾ ചേർക്കാനുള്ള കഴിവ്.

  #nft ipv4_addr വിവരിക്കുക
  ഡാറ്റടൈപ്പ് ipv4_addr (IPv4 വിലാസം) (ബേസ്ടൈപ്പ് പൂർണ്ണസംഖ്യ), 32 ബിറ്റുകൾ

• ലിബ്രെഡ്‌ലൈനിന് പകരം ലൈൻനോയിസ് ലൈബ്രറി ഉപയോഗിച്ച് ഒരു CLI ഇന്റർഫേസ് നിർമ്മിക്കാനുള്ള കഴിവ്.

  ./configure --with-cli=linenoise

അവലംബം: opennet.ru