nftables പാക്കറ്റ് ഫിൽട്ടർ 0.9.9 റിലീസ്

nftables 0.9.9 പാക്കറ്റ് ഫിൽറ്റർ പുറത്തിറക്കിയിരിക്കുന്നു. IPv4, IPv6, ARP, നെറ്റ്‌വർക്ക് ബ്രിഡ്ജുകൾ (iptables, ip6table, arptables, ebtables എന്നിവയ്ക്ക് പകരമായി ലക്ഷ്യമിടുന്നു) എന്നിവയ്‌ക്കായുള്ള പാക്കറ്റ് ഫിൽട്ടറിംഗ് ഇന്റർഫേസുകളെ ഇത് ഏകീകരിക്കുന്നു. nf_tables സബ്സിസ്റ്റവുമായി സംവദിക്കുന്നതിന് ഒരു താഴ്ന്ന ലെവൽ API നൽകുന്ന libnftnl 1.2.0 ലൈബ്രറിയും ഒരേസമയം പുറത്തിറക്കിയിരിക്കുന്നു. nftables 0.9.9 ന് ആവശ്യമായ മാറ്റങ്ങൾ കേർണലിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. Linux 5.13-ആർസി1.

nftables പാക്കേജിൽ ഉപയോക്തൃ സ്ഥലത്ത് പ്രവർത്തിക്കുന്ന പാക്കറ്റ് ഫിൽറ്റർ ഘടകങ്ങൾ അടങ്ങിയിരിക്കുന്നു, അതേസമയം കേർണൽ-ലെവൽ വർക്ക് നൽകുന്നത് കേർണലിന്റെ ഭാഗമായ nf_tables സബ്സിസ്റ്റമാണ്. Linux പതിപ്പ് 3.13 മുതൽ, കേർണൽ തലത്തിൽ ഒരു ജനറിക് പ്രോട്ടോക്കോൾ-സ്വതന്ത്ര ഇന്റർഫേസ് മാത്രമേ നൽകിയിട്ടുള്ളൂ, പാക്കറ്റുകളിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നതിനും ഡാറ്റ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിനും ഫ്ലോ നിയന്ത്രണം നടത്തുന്നതിനുമുള്ള അടിസ്ഥാന പ്രവർത്തനങ്ങൾ ഇത് നൽകുന്നു.

ഫിൽട്ടറിംഗ് നിയമങ്ങളും പ്രോട്ടോക്കോൾ-നിർദ്ദിഷ്ട ഹാൻഡ്‌ലറുകളും ഉപയോക്തൃ സ്‌പെയ്‌സിൽ ബൈറ്റ്‌കോഡിലേക്ക് കംപൈൽ ചെയ്യുന്നു, അതിനുശേഷം ഈ ബൈറ്റ്‌കോഡ് നെറ്റ്‌ലിങ്ക് ഇന്റർഫേസ് ഉപയോഗിച്ച് കേർണലിലേക്ക് ലോഡ് ചെയ്യുകയും ഒരു പ്രത്യേക രീതിയിൽ കേർണലിൽ എക്സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. വെർച്വൽ മെഷീൻ, BPF (ബെർക്ക്‌ലി പാക്കറ്റ് ഫിൽട്ടറുകൾ) നെ അനുസ്മരിപ്പിക്കുന്നു. ഈ സമീപനം കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന ഫിൽട്ടറിംഗ് കോഡിന്റെ വലുപ്പത്തിൽ ഗണ്യമായ കുറവ് വരുത്താൻ അനുവദിക്കുന്നു കൂടാതെ എല്ലാ റൂൾ പാഴ്‌സിംഗും പ്രോട്ടോക്കോൾ ലോജിക്കും ഉപയോക്തൃ സ്‌പെയ്‌സിലേക്ക് നീക്കുന്നു.

പ്രധാന കണ്ടുപിടുത്തങ്ങൾ:

• 'ഓഫ്‌ലോഡ്' ഫ്ലാഗ് ഉപയോഗിച്ച് പ്രവർത്തനക്ഷമമാക്കി, നെറ്റ്‌വർക്ക് അഡാപ്റ്റർ വശത്തേക്ക് ഫ്ലോടേബിൾ പ്രോസസ്സിംഗ് നീക്കാനുള്ള കഴിവ് നടപ്പിലാക്കി. പാക്കറ്റ് റീഡയറക്‌ഷന്റെ പാത ഒപ്റ്റിമൈസ് ചെയ്യുന്നതിനുള്ള ഒരു സംവിധാനമാണ് Flowtable, അതിൽ എല്ലാ റൂൾ പ്രോസസ്സിംഗ് ശൃംഖലകളുടേയും പൂർണ്ണമായ പാസേജ് ആദ്യ പാക്കറ്റിലേക്ക് മാത്രം പ്രയോഗിക്കുകയും ഫ്ലോയിലെ മറ്റെല്ലാ പാക്കറ്റുകളും നേരിട്ട് കൈമാറുകയും ചെയ്യുന്നു. ടേബിൾ ഐപി ഗ്ലോബൽ {flotable f { hook ingress priority filter + 1 devices = { lan3, lan0, wan } ഫ്ലാഗുകൾ ഓഫ്‌ലോഡ് } ചെയിൻ ഫോർവേഡ് { ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് ഫോർവേഡ് പ്രയോറിറ്റി ഫിൽട്ടർ; നയം സ്വീകരിക്കുക; ip പ്രോട്ടോക്കോൾ { tcp, udp } ഫ്ലോ ചേർക്കുക @f } ചെയിൻ പോസ്റ്റ് { ടൈപ്പ് നാറ്റ് ഹുക്ക് പോസ്റ്റ്‌റൂട്ടിംഗ് മുൻഗണനാ ഫിൽട്ടർ; നയം സ്വീകരിക്കുക; oifname "wan" മാസ്ക്വെറേഡ് } }
• ഒരു പ്രോസസ്സിലൂടെ പട്ടികയുടെ പ്രത്യേക ഉപയോഗം ഉറപ്പാക്കാൻ ഒരു ടേബിളിൽ ഒരു ഉടമയുടെ ഫ്ലാഗ് അറ്റാച്ചുചെയ്യുന്നതിനുള്ള പിന്തുണ ചേർത്തു. ഒരു പ്രക്രിയ അവസാനിക്കുമ്പോൾ, അതുമായി ബന്ധപ്പെട്ട പട്ടിക സ്വയമേവ ഇല്ലാതാക്കപ്പെടും. പ്രക്രിയയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഒരു കമന്റിന്റെ രൂപത്തിൽ റൂൾസ് ഡമ്പിൽ പ്രദർശിപ്പിക്കും: ടേബിൾ ip x { # progname nft ഫ്ലാഗുകളുടെ ഉടമ ചെയിൻ y { ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് ഇൻപുട്ട് മുൻഗണനാ ഫിൽട്ടർ; നയം സ്വീകരിക്കുക; കൌണ്ടർ പാക്കറ്റുകൾ 1 ബൈറ്റുകൾ 309 } }
• IEEE 802.1ad സ്‌പെസിഫിക്കേഷനുള്ള പിന്തുണ ചേർത്തു (VLAN സ്റ്റാക്കിംഗ് അല്ലെങ്കിൽ QinQ), ഇത് ഒരു ഇഥർനെറ്റ് ഫ്രെയിമിലേക്ക് ഒന്നിലധികം VLAN ടാഗുകൾ മാറ്റിസ്ഥാപിക്കുന്നതിനുള്ള മാർഗ്ഗം നിർവചിക്കുന്നു. ഉദാഹരണത്തിന്, ബാഹ്യ ഇഥർനെറ്റ് ഫ്രെയിം 8021ad, vlan id=342 എന്നിവയുടെ തരം പരിശോധിക്കാൻ, നിങ്ങൾക്ക് നിർമ്മാണം ഉപയോഗിക്കാം ... ഈതർ തരം 802.1ad vlan id 342 ഇഥർനെറ്റ് ഫ്രെയിം 8021ad/vlan id=1, നെസ്റ്റഡ് 802.1. q/vlan id=2 ഉം തുടർന്നുള്ള IP പാക്കറ്റ് എൻക്യാപ്‌സുലേഷനും: ... ഈതർ ടൈപ്പ് 8021ad vlan id 1 vlan ടൈപ്പ് 8021q vlan id 2 vlan ടൈപ്പ് ip കൗണ്ടർ
• ഏകീകൃത ശ്രേണി cgroups v2 ഉപയോഗിച്ച് ഉറവിടങ്ങൾ കൈകാര്യം ചെയ്യുന്നതിനുള്ള പിന്തുണ ചേർത്തു. cgroups v2 ഉം v1 ഉം തമ്മിലുള്ള പ്രധാന വ്യത്യാസം CPU റിസോഴ്‌സുകൾ അനുവദിക്കുന്നതിനും മെമ്മറി ഉപഭോഗം നിയന്ത്രിക്കുന്നതിനും I/O എന്നിവയ്‌ക്കും പ്രത്യേക ശ്രേണികൾക്ക് പകരം എല്ലാത്തരം വിഭവങ്ങൾക്കും ഒരു പൊതു cgroups ശ്രേണിയുടെ ഉപയോഗമാണ്. ഉദാഹരണത്തിന്, ആദ്യ ലെവൽ cgroupv2-ലെ ഒരു സോക്കറ്റിന്റെ പൂർവ്വികൻ "system.slice" മാസ്കുമായി പൊരുത്തപ്പെടുന്നുണ്ടോയെന്ന് പരിശോധിക്കാൻ, നിങ്ങൾക്ക് നിർമ്മാണം ഉപയോഗിക്കാം: ... socket cgroupv2 ലെവൽ 1 "system.slice"
• SCTP പാക്കറ്റുകളുടെ ഘടകങ്ങൾ പരിശോധിക്കാനുള്ള കഴിവ് ചേർത്തു (പ്രവർത്തനത്തിന് ആവശ്യമായ പ്രവർത്തനം കേർണലിൽ ദൃശ്യമാകും. Linux 5.14). ഉദാഹരണത്തിന്, ഒരു പാക്കറ്റിൽ 'ഡാറ്റ' തരവും 'തരം' ഫീൽഡും ഉള്ള ഒരു ചങ്ക് ഉണ്ടോ എന്ന് പരിശോധിക്കാൻ: … sctp ചങ്ക് ഡാറ്റ നിലവിലുണ്ട് … sctp ചങ്ക് ഡാറ്റ തരം 0
• "-f" ഫ്ലാഗ് ഉപയോഗിച്ച് റൂൾ ലോഡിംഗ് ഓപ്പറേഷന്റെ നിർവ്വഹണം ഏകദേശം രണ്ട് തവണ ത്വരിതപ്പെടുത്തി. നിയമങ്ങളുടെ പട്ടികയുടെ ഔട്ട്പുട്ടും ത്വരിതപ്പെടുത്തിയിട്ടുണ്ട്.
• ഫ്ലാഗ് ബിറ്റുകൾ സജ്ജീകരിച്ചിട്ടുണ്ടോ എന്ന് പരിശോധിക്കുന്നതിനുള്ള ഒരു കോംപാക്റ്റ് ഫോം നൽകിയിരിക്കുന്നു. ഉദാഹരണത്തിന്, സ്നാറ്റ്, ഡിനാറ്റ് സ്റ്റാറ്റസ് ബിറ്റുകൾ സജ്ജീകരിച്ചിട്ടില്ലെന്ന് പരിശോധിക്കാൻ, നിങ്ങൾക്ക് വ്യക്തമാക്കാം: ... ct സ്റ്റാറ്റസ് ! ബിറ്റ്മാസ്ക് syn-ൽ syn ബിറ്റ് സജ്ജീകരിച്ചിട്ടുണ്ടോയെന്ന് പരിശോധിക്കാൻ snat,dnat, ack: ... tcp ഫ്ലാഗുകൾ syn / syn,ack ബിറ്റ്മാസ്ക് syn, ack, fin,rst എന്നിവയിൽ ഫിൻ, rst ബിറ്റുകൾ സജ്ജീകരിച്ചിട്ടില്ലെന്ന് പരിശോധിക്കാൻ. ... tcp ഫ്ലാഗുകൾ ! = fin,rst / syn,ack,fin,rst
• സെറ്റ്/മാപ്പ് തരം നിർവചനങ്ങളിൽ "വിധി" കീവേഡ് അനുവദിക്കുക: മാപ്പ് xm ചേർക്കുക { typeof iifname . ip പ്രോട്ടോക്കോൾ th dport : വിധി ;}

അവലംബം: opennet.ru