nftables പാക്കറ്റ് ഫിൽട്ടർ 0.9.9 റിലീസ്

IPv0.9.9, IPv4, ARP, നെറ്റ്‌വർക്ക് ബ്രിഡ്ജുകൾ (iptables, ip6table, arptables, ebtables എന്നിവ മാറ്റിസ്ഥാപിക്കാൻ ലക്ഷ്യമിട്ടുള്ള) പാക്കറ്റ് ഫിൽട്ടറിംഗ് ഇന്റർഫേസുകൾ ഏകീകരിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ nftables 6 പുറത്തിറക്കി. അതേ സമയം, nf_tables സബ്സിസ്റ്റവുമായി സംവദിക്കുന്നതിന് ഒരു ലോ-ലെവൽ API നൽകുന്ന കമ്പാനിയൻ ലൈബ്രറി libnftnl 1.2.0-ന്റെ റിലീസ് പ്രസിദ്ധീകരിച്ചു. nftables 0.9.9 റിലീസ് പ്രവർത്തിക്കുന്നതിന് ആവശ്യമായ മാറ്റങ്ങൾ Linux കേർണൽ 5.13-rc1-ൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്.

nftables പാക്കേജിൽ യൂസർ സ്പേസിൽ പ്രവർത്തിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ ഘടകങ്ങൾ ഉൾപ്പെടുന്നു, അതേസമയം കേർണൽ-ലെവൽ വർക്ക് നൽകുന്നത് 3.13 റിലീസ് മുതൽ Linux കേർണലിന്റെ ഭാഗമായ nf_tables സബ്സിസ്റ്റമാണ്. പാക്കറ്റുകളിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നതിനും ഡാറ്റ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിനും ഫ്ലോ കൺട്രോൾ ചെയ്യുന്നതിനുമുള്ള അടിസ്ഥാന പ്രവർത്തനങ്ങൾ നൽകുന്ന ഒരു ജനറിക് പ്രോട്ടോക്കോൾ-സ്വതന്ത്ര ഇന്റർഫേസ് മാത്രമാണ് കേർണൽ ലെവൽ നൽകുന്നത്.

ഫിൽട്ടറിംഗ് നിയമങ്ങളും പ്രോട്ടോക്കോൾ-നിർദ്ദിഷ്‌ട ഹാൻഡ്‌ലറുകളും യൂസർ-സ്‌പേസ് ബൈറ്റ്‌കോഡിലേക്ക് കംപൈൽ ചെയ്യുന്നു, അതിനുശേഷം ഈ ബൈറ്റ്‌കോഡ് നെറ്റ്‌ലിങ്ക് ഇന്റർഫേസ് ഉപയോഗിച്ച് കേർണലിലേക്ക് ലോഡ് ചെയ്യുകയും ബിപിഎഫ് (ബെർക്ക്‌ലി പാക്കറ്റ് ഫിൽട്ടറുകൾ) പോലെയുള്ള ഒരു പ്രത്യേക വെർച്വൽ മെഷീനിൽ കേർണലിൽ എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. ഈ സമീപനം കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന ഫിൽട്ടറിംഗ് കോഡിന്റെ വലുപ്പം ഗണ്യമായി കുറയ്ക്കുകയും പാഴ്സിംഗ് നിയമങ്ങളുടെ എല്ലാ പ്രവർത്തനങ്ങളും പ്രോട്ടോക്കോളുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്ന ലോജിക്കും യൂസർ സ്പേസിലേക്ക് നീക്കുകയും ചെയ്യുന്നു.

പ്രധാന കണ്ടുപിടുത്തങ്ങൾ:

• 'ഓഫ്‌ലോഡ്' ഫ്ലാഗ് ഉപയോഗിച്ച് പ്രവർത്തനക്ഷമമാക്കി, നെറ്റ്‌വർക്ക് അഡാപ്റ്റർ വശത്തേക്ക് ഫ്ലോടേബിൾ പ്രോസസ്സിംഗ് നീക്കാനുള്ള കഴിവ് നടപ്പിലാക്കി. പാക്കറ്റ് റീഡയറക്‌ഷന്റെ പാത ഒപ്റ്റിമൈസ് ചെയ്യുന്നതിനുള്ള ഒരു സംവിധാനമാണ് Flowtable, അതിൽ എല്ലാ റൂൾ പ്രോസസ്സിംഗ് ശൃംഖലകളുടേയും പൂർണ്ണമായ പാസേജ് ആദ്യ പാക്കറ്റിലേക്ക് മാത്രം പ്രയോഗിക്കുകയും ഫ്ലോയിലെ മറ്റെല്ലാ പാക്കറ്റുകളും നേരിട്ട് കൈമാറുകയും ചെയ്യുന്നു. ടേബിൾ ഐപി ഗ്ലോബൽ {flotable f { hook ingress priority filter + 1 devices = { lan3, lan0, wan } ഫ്ലാഗുകൾ ഓഫ്‌ലോഡ് } ചെയിൻ ഫോർവേഡ് { ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് ഫോർവേഡ് പ്രയോറിറ്റി ഫിൽട്ടർ; നയം സ്വീകരിക്കുക; ip പ്രോട്ടോക്കോൾ { tcp, udp } ഫ്ലോ ചേർക്കുക @f } ചെയിൻ പോസ്റ്റ് { ടൈപ്പ് നാറ്റ് ഹുക്ക് പോസ്റ്റ്‌റൂട്ടിംഗ് മുൻഗണനാ ഫിൽട്ടർ; നയം സ്വീകരിക്കുക; oifname "wan" മാസ്ക്വെറേഡ് } }
• ഒരു പ്രോസസ്സിലൂടെ പട്ടികയുടെ പ്രത്യേക ഉപയോഗം ഉറപ്പാക്കാൻ ഒരു ടേബിളിൽ ഒരു ഉടമയുടെ ഫ്ലാഗ് അറ്റാച്ചുചെയ്യുന്നതിനുള്ള പിന്തുണ ചേർത്തു. ഒരു പ്രക്രിയ അവസാനിക്കുമ്പോൾ, അതുമായി ബന്ധപ്പെട്ട പട്ടിക സ്വയമേവ ഇല്ലാതാക്കപ്പെടും. പ്രക്രിയയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഒരു കമന്റിന്റെ രൂപത്തിൽ റൂൾസ് ഡമ്പിൽ പ്രദർശിപ്പിക്കും: ടേബിൾ ip x { # progname nft ഫ്ലാഗുകളുടെ ഉടമ ചെയിൻ y { ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് ഇൻപുട്ട് മുൻഗണനാ ഫിൽട്ടർ; നയം സ്വീകരിക്കുക; കൌണ്ടർ പാക്കറ്റുകൾ 1 ബൈറ്റുകൾ 309 } }
• IEEE 802.1ad സ്‌പെസിഫിക്കേഷനുള്ള പിന്തുണ ചേർത്തു (VLAN സ്റ്റാക്കിംഗ് അല്ലെങ്കിൽ QinQ), ഇത് ഒരു ഇഥർനെറ്റ് ഫ്രെയിമിലേക്ക് ഒന്നിലധികം VLAN ടാഗുകൾ മാറ്റിസ്ഥാപിക്കുന്നതിനുള്ള മാർഗ്ഗം നിർവചിക്കുന്നു. ഉദാഹരണത്തിന്, ബാഹ്യ ഇഥർനെറ്റ് ഫ്രെയിം 8021ad, vlan id=342 എന്നിവയുടെ തരം പരിശോധിക്കാൻ, നിങ്ങൾക്ക് നിർമ്മാണം ഉപയോഗിക്കാം ... ഈതർ തരം 802.1ad vlan id 342 ഇഥർനെറ്റ് ഫ്രെയിം 8021ad/vlan id=1, നെസ്റ്റഡ് 802.1. q/vlan id=2 ഉം തുടർന്നുള്ള IP പാക്കറ്റ് എൻക്യാപ്‌സുലേഷനും: ... ഈതർ ടൈപ്പ് 8021ad vlan id 1 vlan ടൈപ്പ് 8021q vlan id 2 vlan ടൈപ്പ് ip കൗണ്ടർ
• ഏകീകൃത ശ്രേണി cgroups v2 ഉപയോഗിച്ച് ഉറവിടങ്ങൾ കൈകാര്യം ചെയ്യുന്നതിനുള്ള പിന്തുണ ചേർത്തു. cgroups v2 ഉം v1 ഉം തമ്മിലുള്ള പ്രധാന വ്യത്യാസം CPU റിസോഴ്‌സുകൾ അനുവദിക്കുന്നതിനും മെമ്മറി ഉപഭോഗം നിയന്ത്രിക്കുന്നതിനും I/O എന്നിവയ്‌ക്കും പ്രത്യേക ശ്രേണികൾക്ക് പകരം എല്ലാത്തരം വിഭവങ്ങൾക്കും ഒരു പൊതു cgroups ശ്രേണിയുടെ ഉപയോഗമാണ്. ഉദാഹരണത്തിന്, ആദ്യ ലെവൽ cgroupv2-ലെ ഒരു സോക്കറ്റിന്റെ പൂർവ്വികൻ "system.slice" മാസ്കുമായി പൊരുത്തപ്പെടുന്നുണ്ടോയെന്ന് പരിശോധിക്കാൻ, നിങ്ങൾക്ക് നിർമ്മാണം ഉപയോഗിക്കാം: ... socket cgroupv2 ലെവൽ 1 "system.slice"
• എസ്‌സി‌ടി‌പി പാക്കറ്റുകളുടെ ഘടകങ്ങൾ പരിശോധിക്കാനുള്ള കഴിവ് ചേർത്തു (ഇതിനാവശ്യമായ പ്രവർത്തനം Linux 5.14 കേർണലിൽ ദൃശ്യമാകും). ഉദാഹരണത്തിന്, ഒരു പാക്കറ്റിൽ 'ഡാറ്റ' എന്ന തരവും 'തരം' ഫീൽഡും ഉള്ള ഒരു ഭാഗം അടങ്ങിയിട്ടുണ്ടോയെന്ന് പരിശോധിക്കാൻ: ... sctp ചങ്ക് ഡാറ്റ നിലവിലുണ്ട് ... sctp ചങ്ക് ഡാറ്റ തരം 0
• "-f" ഫ്ലാഗ് ഉപയോഗിച്ച് റൂൾ ലോഡിംഗ് ഓപ്പറേഷന്റെ നിർവ്വഹണം ഏകദേശം രണ്ട് തവണ ത്വരിതപ്പെടുത്തി. നിയമങ്ങളുടെ പട്ടികയുടെ ഔട്ട്പുട്ടും ത്വരിതപ്പെടുത്തിയിട്ടുണ്ട്.
• ഫ്ലാഗ് ബിറ്റുകൾ സജ്ജീകരിച്ചിട്ടുണ്ടോ എന്ന് പരിശോധിക്കുന്നതിനുള്ള ഒരു കോംപാക്റ്റ് ഫോം നൽകിയിരിക്കുന്നു. ഉദാഹരണത്തിന്, സ്നാറ്റ്, ഡിനാറ്റ് സ്റ്റാറ്റസ് ബിറ്റുകൾ സജ്ജീകരിച്ചിട്ടില്ലെന്ന് പരിശോധിക്കാൻ, നിങ്ങൾക്ക് വ്യക്തമാക്കാം: ... ct സ്റ്റാറ്റസ് ! ബിറ്റ്മാസ്ക് syn-ൽ syn ബിറ്റ് സജ്ജീകരിച്ചിട്ടുണ്ടോയെന്ന് പരിശോധിക്കാൻ snat,dnat, ack: ... tcp ഫ്ലാഗുകൾ syn / syn,ack ബിറ്റ്മാസ്ക് syn, ack, fin,rst എന്നിവയിൽ ഫിൻ, rst ബിറ്റുകൾ സജ്ജീകരിച്ചിട്ടില്ലെന്ന് പരിശോധിക്കാൻ. ... tcp ഫ്ലാഗുകൾ ! = fin,rst / syn,ack,fin,rst
• സെറ്റ്/മാപ്പ് തരം നിർവചനങ്ങളിൽ "വിധി" കീവേഡ് അനുവദിക്കുക: മാപ്പ് xm ചേർക്കുക { typeof iifname . ip പ്രോട്ടോക്കോൾ th dport : വിധി ;}

അവലംബം: opennet.ru