nftables പാക്കറ്റ് ഫിൽട്ടർ 0.9.4 റിലീസ്

പ്രസിദ്ധീകരിച്ചു പാക്കറ്റ് ഫിൽട്ടർ റിലീസ് nftables 0.9.4, IPv6, IPv4, ARP, നെറ്റ്‌വർക്ക് ബ്രിഡ്ജുകൾ എന്നിവയ്‌ക്കായുള്ള പാക്കറ്റ് ഫിൽട്ടറിംഗ് ഇന്റർഫേസുകൾ ഏകീകരിക്കുന്നതിലൂടെ iptables, ip6table, arptables, ebtables എന്നിവയ്‌ക്ക് പകരമായി വികസിപ്പിക്കുന്നു. nftables പാക്കേജിൽ യൂസർ സ്പേസിൽ പ്രവർത്തിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ ഘടകങ്ങൾ ഉൾപ്പെടുന്നു, അതേസമയം കേർണൽ-ലെവൽ വർക്ക് നൽകുന്നത് 3.13 റിലീസ് മുതൽ Linux കേർണലിന്റെ ഭാഗമായ nf_tables സബ്സിസ്റ്റമാണ്. nftables 0.9.4 റിലീസ് പ്രവർത്തിക്കുന്നതിന് ആവശ്യമായ മാറ്റങ്ങൾ ഭാവിയിലെ കേർണൽ ബ്രാഞ്ചിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. ലിനക്സ് 5.6.

പാക്കറ്റുകളിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നതിനും ഡാറ്റ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിനും ഫ്ലോ കൺട്രോൾ ചെയ്യുന്നതിനുമുള്ള അടിസ്ഥാന പ്രവർത്തനങ്ങൾ നൽകുന്ന ഒരു ജനറിക് പ്രോട്ടോക്കോൾ-സ്വതന്ത്ര ഇന്റർഫേസ് മാത്രമാണ് കേർണൽ ലെവൽ നൽകുന്നത്. ഫിൽട്ടറിംഗ് നിയമങ്ങളും പ്രോട്ടോക്കോൾ-നിർദ്ദിഷ്ട ഹാൻഡ്‌ലറുകളും യൂസർ സ്‌പെയ്‌സിൽ ബൈറ്റ്‌കോഡിലേക്ക് കംപൈൽ ചെയ്യുന്നു, അതിനുശേഷം ഈ ബൈറ്റ്‌കോഡ് നെറ്റ്‌ലിങ്ക് ഇന്റർഫേസ് ഉപയോഗിച്ച് കേർണലിലേക്ക് ലോഡ് ചെയ്യുകയും ബിപിഎഫിനെ (ബെർക്ക്‌ലി പാക്കറ്റ് ഫിൽട്ടറുകൾ) അനുസ്മരിപ്പിക്കുന്ന ഒരു പ്രത്യേക വെർച്വൽ മെഷീനിൽ കേർണലിൽ എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന ഫിൽട്ടറിംഗ് കോഡിന്റെ വലുപ്പം ഗണ്യമായി കുറയ്ക്കുന്നതിനും പ്രോട്ടോക്കോളുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നതിനുള്ള പാഴ്സിംഗ് നിയമങ്ങളുടെയും ലോജിക്കുകളുടെയും എല്ലാ പ്രവർത്തനങ്ങളും യൂസർ സ്പേസിലേക്ക് നീക്കാൻ ഈ സമീപനം നിങ്ങളെ അനുവദിക്കുന്നു.

പ്രധാന കണ്ടുപിടുത്തങ്ങൾ:

• കണക്ഷനുകളിലെ ശ്രേണികൾക്കുള്ള പിന്തുണ (കോൺകാറ്റനേഷൻ, ചില വിലാസങ്ങളുടെ ബണ്ടിലുകൾ, താരതമ്യത്തെ ലളിതമാക്കുന്ന പോർട്ടുകൾ). ഉദാഹരണത്തിന്, ഒരു അറ്റാച്ച്‌മെന്റായ "വൈറ്റ്‌ലിസ്റ്റ്" സെറ്റിന്, "ഇന്റർവൽ" ഫ്ലാഗ് വ്യക്തമാക്കുന്നത്, സെറ്റിന് അറ്റാച്ച്‌മെന്റിൽ ശ്രേണികൾ ഉൾപ്പെടുത്താൻ കഴിയുമെന്ന് സൂചിപ്പിക്കും ("ipv4_addr . ipv4_addr . inet_service" എന്ന അറ്റാച്ച്‌മെന്റിന് കൃത്യമായ ലിസ്റ്റ് ചെയ്യാൻ മുമ്പ് സാധിച്ചിരുന്നു. "192.168.10.35. 192.68.11.123" എന്ന ഫോമിന്റെ പൊരുത്തങ്ങൾ, ഇപ്പോൾ നിങ്ങൾക്ക് വിലാസങ്ങളുടെ ഗ്രൂപ്പുകൾ "80-192.168.10.35-192.168.10.40.

  പട്ടിക ip foo {
  വൈറ്റ്‌ലിസ്റ്റ് സജ്ജീകരിക്കുക {
  ipv4_addr എന്ന് ടൈപ്പ് ചെയ്യുക. ipv4_addr. inet_service
  ഫ്ലാഗുകളുടെ ഇടവേള
  ഘടകങ്ങൾ = { 192.168.10.35-192.168.10.40 . 192.68.11.123-192.168.11.125. 80}
  }

  ചെയിൻ ബാർ {
  ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് പ്രിറൗട്ടിംഗ് മുൻഗണന ഫിൽട്ടർ; നയപരമായ വീഴ്ച;
  ip saddr. ഐപി ഡാഡ്ർ. tcp dport @whitelist സ്വീകരിക്കുക
  }
  }

• സെറ്റുകളിലും മാപ്പ് ലിസ്റ്റുകളിലും, പൊരുത്തപ്പെടുമ്പോൾ മൂലകത്തിന്റെ ഫോർമാറ്റ് നിർണ്ണയിക്കുന്ന "ടൈപ്പ്" നിർദ്ദേശം ഉപയോഗിക്കാൻ കഴിയും.
  ഉദാഹരണത്തിന്:

  പട്ടിക ip foo {
  വൈറ്റ്‌ലിസ്റ്റ് സജ്ജീകരിക്കുക {
  ഐപി സാഡ്‌ഡിർ തരം
  ഘടകങ്ങൾ = { 192.168.10.35, 192.168.10.101, 192.168.10.135 }
  }

  ചെയിൻ ബാർ {
  ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് പ്രിറൗട്ടിംഗ് മുൻഗണന ഫിൽട്ടർ; നയപരമായ വീഴ്ച;
  ip daddr @ വൈറ്റ്ലിസ്റ്റ് സ്വീകരിക്കുക
  }
  }

  പട്ടിക ip foo {
  മാപ്പ് addr2mark {
  ip saddr തരം: മെറ്റാ മാർക്ക്
  ഘടകങ്ങൾ = { 192.168.10.35 : 0x00000001, 192.168.10.135 : 0x00000002 }
  }
  }

• NAT ബൈൻഡിംഗുകളിൽ ചേരലുകൾ ഉപയോഗിക്കാനുള്ള കഴിവ് ചേർത്തു, ഇത് മാപ്പ് ലിസ്റ്റുകൾ അല്ലെങ്കിൽ പേരിട്ടിരിക്കുന്ന സെറ്റുകൾ അടിസ്ഥാനമാക്കി NAT പരിവർത്തനങ്ങൾ നിർവചിക്കുമ്പോൾ ഒരു വിലാസവും പോർട്ടും വ്യക്തമാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു:

  nft ആഡ് റൂൾ ip nat pre dnat ip addr. പോർട്ട് to ip saddr മാപ്പ് { 1.1.1.1 : 2.2.2.2 . മുപ്പത് }

  nft മാപ്പ് ip nat ലക്ഷ്യസ്ഥാനങ്ങൾ ചേർക്കുക {ipv4_addr എന്ന് ടൈപ്പ് ചെയ്യുക. inet_service: ipv4_addr. inet_service \\; }
  nft ആഡ് റൂൾ ip nat pre dnat ip addr. പോർട്ട് to ip saddr. tcp dport മാപ്പ് @ ലക്ഷ്യസ്ഥാനങ്ങൾ

• നെറ്റ്‌വർക്ക് കാർഡ് നടത്തുന്ന ചില ഫിൽട്ടറിംഗ് പ്രവർത്തനങ്ങൾക്കൊപ്പം ഹാർഡ്‌വെയർ ആക്സിലറേഷനുള്ള പിന്തുണ. ethtool യൂട്ടിലിറ്റി (“ethtool -K eth0 hw-tc-offload on”) വഴി ത്വരിതപ്പെടുത്തൽ പ്രവർത്തനക്ഷമമാക്കുന്നു, അതിനുശേഷം അത് “ഓഫ്‌ലോഡ്” ഫ്ലാഗ് ഉപയോഗിച്ച് പ്രധാന ശൃംഖലയ്‌ക്കായി nftables-ൽ സജീവമാക്കുന്നു. Linux കേർണൽ 5.6 ഉപയോഗിക്കുമ്പോൾ, ഹെഡർ ഫീൽഡ് മാച്ചിംഗിനും ഇൻകമിംഗ് ഇന്റർഫേസ് പരിശോധനയ്ക്കും ഹാർഡ്‌വെയർ ആക്‌സിലറേഷൻ പിന്തുണയ്ക്കുന്നു, ഒപ്പം പാക്കറ്റുകൾ സ്വീകരിക്കുക, ഉപേക്ഷിക്കുക, ഡ്യൂപ്ലിക്കേറ്റ് ചെയ്യുക (ഡ്യൂപ്പ്), ഫോർവേഡിംഗ് (fwd) എന്നിവയുമായി സംയോജിപ്പിക്കുന്നു. ചുവടെയുള്ള ഉദാഹരണത്തിൽ, 192.168.30.20 എന്ന വിലാസത്തിൽ നിന്ന് വരുന്ന പാക്കറ്റുകൾ ഡ്രോപ്പ് ചെയ്യുന്നതിനുള്ള പ്രവർത്തനങ്ങൾ നെറ്റ്‌വർക്ക് കാർഡ് തലത്തിൽ, പാക്കറ്റുകൾ കേർണലിലേക്ക് കടത്തിവിടാതെ നടത്തുന്നു:

  # cat file.nft
  പട്ടിക netdev x {
  ചെയിൻ y {
  തരം ഫിൽട്ടർ ഹുക്ക് ഇൻഗ്രെസ്സ് ഉപകരണം eth0 മുൻഗണന 10; ഫ്ലാഗുകൾ ഓഫ്ലോഡ്;
  ip saddr 192.168.30.20 ഡ്രോപ്പ്
  }
  }
  # nft -f file.nft

• നിയമങ്ങളിലെ ഒരു പിശകിന്റെ സ്ഥാനത്തെക്കുറിച്ചുള്ള മെച്ചപ്പെട്ട വിവരങ്ങൾ.

  # nft ഡിലീറ്റ് റൂൾ ip yz ഹാൻഡിൽ 7
  പിശക്: റൂൾ പ്രോസസ്സ് ചെയ്യാൻ കഴിഞ്ഞില്ല: അത്തരം ഫയലോ ഡയറക്ടറിയോ ഇല്ല
  റൂൾ ip yz ഹാൻഡിൽ 7 ഇല്ലാതാക്കുക
  ^

  # nft ഡിലീറ്റ് റൂൾ ip xx ഹാൻഡിൽ 7
  പിശക്: റൂൾ പ്രോസസ്സ് ചെയ്യാൻ കഴിഞ്ഞില്ല: അത്തരം ഫയലോ ഡയറക്ടറിയോ ഇല്ല
  റൂൾ ip xx ഹാൻഡിൽ 7 ഇല്ലാതാക്കുക
  ^

  # nft പട്ടിക twst ഇല്ലാതാക്കുക
  പിശക്: അത്തരം ഫയലോ ഡയറക്ടറിയോ ഇല്ല; ഫാമിലി ഐപിയിലെ ടേബിൾ 'ടെസ്റ്റ്' എന്നാണോ നിങ്ങൾ ഉദ്ദേശിച്ചത്?
  ടേബിൾ ട്വിസ്റ്റ് ഇല്ലാതാക്കുക
  ^^^^

  "y" എന്ന പട്ടിക സിസ്റ്റത്തിൽ ഇല്ലെന്നും രണ്ടാമത്തേത് "7" ഹാൻഡ്‌ലർ കാണാനില്ലെന്നും മൂന്നാമത്തേത് പട്ടികയുടെ പേര് ടൈപ്പുചെയ്യുമ്പോൾ ഒരു അക്ഷരത്തെറ്റ് പ്രോംപ്റ്റ് ദൃശ്യമാകുമെന്നും ആദ്യ ഉദാഹരണം കാണിക്കുന്നു.

• "meta sdif" അല്ലെങ്കിൽ "meta sdifname" വ്യക്തമാക്കിക്കൊണ്ട് സ്ലേവ് ഇന്റർഫേസ് പരിശോധിക്കുന്നതിനുള്ള പിന്തുണ ചേർത്തു:

  ... meta sdifname vrf1 ...

• വലത് അല്ലെങ്കിൽ ഇടത് ഷിഫ്റ്റ് പ്രവർത്തനങ്ങൾക്കുള്ള പിന്തുണ ചേർത്തു. ഉദാഹരണത്തിന്, നിലവിലുള്ള ഒരു പാക്കറ്റ് ലേബൽ 1 ബിറ്റ് ഇടത്തേക്ക് മാറ്റി മൈനർ ബിറ്റ് 1 ആയി സജ്ജീകരിക്കാൻ:

  … മെറ്റാ മാർക്ക് സെറ്റ് മെറ്റാ മാർക്ക് lshift 1 അല്ലെങ്കിൽ 0x1 …

• വിപുലീകൃത പതിപ്പ് വിവരങ്ങൾ പ്രദർശിപ്പിക്കുന്നതിന് "-V" ഓപ്ഷൻ നടപ്പിലാക്കി.

  # nft -V
  nftables v0.9.4 (ജൈവ് അറ്റ് ഫൈവ്)
  cli:റെഡ്‌ലൈൻ
  json: അതെ
  minigmp:No
  libxtables: അതെ

• കമാൻഡുകൾക്ക് മുമ്പായി കമാൻഡ് ലൈൻ ഓപ്ഷനുകൾ ഇപ്പോൾ വ്യക്തമാക്കിയിരിക്കണം. ഉദാഹരണത്തിന്, നിങ്ങൾ “nft -a list ruleset” വ്യക്തമാക്കേണ്ടതുണ്ട്, കൂടാതെ “nft list ruleset -a” പ്രവർത്തിപ്പിക്കുന്നത് ഒരു പിശകിന് കാരണമാകും.

  അവലംബം: opennet.ru