nftables പാക്കറ്റ് ഫിൽട്ടർ 1.0.0 റിലീസ്

IPv1.0.0, IPv4, ARP, നെറ്റ്‌വർക്ക് ബ്രിഡ്ജുകൾ (iptables, ip6table, arptables, ebtables എന്നിവ മാറ്റിസ്ഥാപിക്കാൻ ലക്ഷ്യമിട്ടുള്ള) പാക്കറ്റ് ഫിൽട്ടറിംഗ് ഇന്റർഫേസുകൾ ഏകീകരിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ nftables 6 പുറത്തിറക്കി. nftables 1.0.0 റിലീസ് പ്രവർത്തിക്കുന്നതിന് ആവശ്യമായ മാറ്റങ്ങൾ Linux 5.13 കേർണലിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. പതിപ്പ് നമ്പറിലെ ഒരു പ്രധാന മാറ്റം അടിസ്ഥാനപരമായ മാറ്റങ്ങളുമായി ബന്ധപ്പെടുത്തിയിട്ടില്ല, പക്ഷേ ദശാംശ നൊട്ടേഷനിൽ നമ്പറിംഗിന്റെ സ്ഥിരമായ തുടർച്ചയുടെ അനന്തരഫലം മാത്രമാണ് (മുമ്പത്തെ റിലീസ് 0.9.9 ആയിരുന്നു).

nftables പാക്കേജിൽ യൂസർ സ്പേസിൽ പ്രവർത്തിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ ഘടകങ്ങൾ ഉൾപ്പെടുന്നു, അതേസമയം കേർണൽ-ലെവൽ വർക്ക് നൽകുന്നത് 3.13 റിലീസ് മുതൽ Linux കേർണലിന്റെ ഭാഗമായ nf_tables സബ്സിസ്റ്റമാണ്. പാക്കറ്റുകളിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നതിനും ഡാറ്റ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിനും ഫ്ലോ കൺട്രോൾ ചെയ്യുന്നതിനുമുള്ള അടിസ്ഥാന പ്രവർത്തനങ്ങൾ നൽകുന്ന ഒരു ജനറിക് പ്രോട്ടോക്കോൾ-സ്വതന്ത്ര ഇന്റർഫേസ് മാത്രമാണ് കേർണൽ ലെവൽ നൽകുന്നത്.

ഫിൽട്ടറിംഗ് നിയമങ്ങളും പ്രോട്ടോക്കോൾ-നിർദ്ദിഷ്‌ട ഹാൻഡ്‌ലറുകളും യൂസർ-സ്‌പേസ് ബൈറ്റ്‌കോഡിലേക്ക് കംപൈൽ ചെയ്യുന്നു, അതിനുശേഷം ഈ ബൈറ്റ്‌കോഡ് നെറ്റ്‌ലിങ്ക് ഇന്റർഫേസ് ഉപയോഗിച്ച് കേർണലിലേക്ക് ലോഡ് ചെയ്യുകയും ബിപിഎഫ് (ബെർക്ക്‌ലി പാക്കറ്റ് ഫിൽട്ടറുകൾ) പോലെയുള്ള ഒരു പ്രത്യേക വെർച്വൽ മെഷീനിൽ കേർണലിൽ എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. ഈ സമീപനം കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന ഫിൽട്ടറിംഗ് കോഡിന്റെ വലുപ്പം ഗണ്യമായി കുറയ്ക്കുകയും പാഴ്സിംഗ് നിയമങ്ങളുടെ എല്ലാ പ്രവർത്തനങ്ങളും പ്രോട്ടോക്കോളുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്ന ലോജിക്കും യൂസർ സ്പേസിലേക്ക് നീക്കുകയും ചെയ്യുന്നു.

പ്രധാന കണ്ടുപിടുത്തങ്ങൾ:

• സെറ്റ് ലിസ്‌റ്റുകളിലേക്ക് “*” മാസ്‌ക് എലമെന്റിനുള്ള പിന്തുണ ചേർത്തിട്ടുണ്ട്, ഇത് സെറ്റിൽ നിർവചിച്ചിരിക്കുന്ന മറ്റ് ഘടകങ്ങളുടെ കീഴിൽ വരാത്ത പാക്കേജുകൾക്കായി പ്രവർത്തനക്ഷമമാക്കുന്നു. പട്ടിക x {മാപ്പ് ബ്ലോക്ക്‌ലിസ്റ്റ് {തരം ipv4_addr : വിധി ഫ്ലാഗുകളുടെ ഇടവേള ഘടകങ്ങൾ = { 192.168.0.0/16 : സ്വീകരിക്കുക, 10.0.0.0/8 : സ്വീകരിക്കുക, * : ഡ്രോപ്പ് } } ചെയിൻ y {തരം ഫിൽട്ടർ ഹുക്ക് മുൻ‌ഗണന 0; നയം സ്വീകരിക്കുക; ip saddr vmap @blocklist }}
• “--define” ഓപ്ഷൻ ഉപയോഗിച്ച് കമാൻഡ് ലൈനിൽ നിന്ന് വേരിയബിളുകൾ നിർവചിക്കാൻ സാധിക്കും. # cat test.nft ടേബിൾ netdev x {ചെയിൻ y {ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് ഇൻഗ്രസ് ഉപകരണങ്ങൾ = $dev മുൻഗണന 0; നയപരമായ വീഴ്ച; } } # nft —define dev="{ eth0, eth1 }" -f test.nft
• മാപ്പ് ലിസ്റ്റുകളിൽ, സ്ഥിരമായ (സ്റ്റേറ്റ്ഫുൾ) എക്സ്പ്രഷനുകളുടെ ഉപയോഗം അനുവദനീയമാണ്: ടേബിൾ ഇനെറ്റ് ഫിൽട്ടർ { മാപ്പ് പോർട്ട്മാപ്പ് { ടൈപ്പ് inet_service : വിധി കൗണ്ടർ ഘടകങ്ങൾ = { 22 കൌണ്ടർ പാക്കറ്റുകൾ 0 ബൈറ്റുകൾ 0 : jump ssh_input, * counter packets 0 bytes 0 : drop } } ചെയിൻ ssh_input { } chain wan_input { tcp dport vmap @portmap } ചെയിൻ പ്രിറൗട്ടിംഗ് {ടൈപ്പ് ഫിൽട്ടർ ഹുക്ക് പ്രിറൗട്ടിംഗ് മുൻഗണന റോ; നയം സ്വീകരിക്കുക; iif vmap { "lo" : jump wan_input } } }
• തന്നിരിക്കുന്ന പാക്കറ്റ് ഫാമിലിക്കായുള്ള ഹാൻഡ്‌ലറുകളുടെ ഒരു ലിസ്റ്റ് പ്രദർശിപ്പിക്കുന്നതിന് "ലിസ്റ്റ് ഹുക്ക്സ്" കമാൻഡ് ചേർത്തു: # nft ലിസ്റ്റ് ഹുക്കുകൾ IP ഉപകരണം eth0 ഫാമിലി ip { hook ingress { +0000000010 chain netdev xy [nf_tables] +0000000300 chain inet mw പുട്ട് [nf_tables] { -0000000100 ചെയിൻ ip ab [nf_tables] +0000000300 chain inet mz [nf_tables] } ഹുക്ക് ഫോർവേഡ് { -0000000225 selinux_ipv4_forward 0000000000 chain 0000000225 chain selinux_ipv4_output } ഹുക്ക് പോസ്റ്റ്‌റൂട്ടിംഗ് { +0000000225 4 selinux_ipvXNUMX_postroute }}
• ഉപയോക്തൃ ഇടത്തിലെ ക്യൂകളിലേക്ക് പാക്കറ്റുകൾ വിതരണം ചെയ്യുന്നതിനായി jhash, symhash, numgen എക്സ്പ്രഷനുകൾ സംയോജിപ്പിക്കാൻ ക്യൂ ബ്ലോക്കുകൾ അനുവദിക്കുന്നു. … സിംഹാഷ് മോഡ് 65536 ലേക്കുള്ള ക്യൂ … ക്യൂ ഫ്ലാഗുകൾ ബൈപാസ് ടു numgen inc mod 65536… ക്യൂ ഝാഷ് ഒഇഫ്. മെറ്റാ മാർക്ക് മോഡ് 32 "ക്യൂ" മാപ്പ് ലിസ്റ്റുകളുമായി സംയോജിപ്പിച്ച് അനിയന്ത്രിതമായ കീകളെ അടിസ്ഥാനമാക്കി ഉപയോക്തൃ സ്ഥലത്ത് ഒരു ക്യൂ തിരഞ്ഞെടുക്കാം. ... ക്യൂ ഫ്ലാഗുകൾ ഒഇഫ്‌നെയിം മാപ്പിലേക്ക് ബൈപാസ് { "eth0" : 0, "ppp0" : 2, "eth1" : 2 }
• നിരവധി മാപ്പുകളിലേക്ക് ഒരു സെറ്റ് ലിസ്റ്റ് ഉൾപ്പെടുന്ന വേരിയബിളുകൾ വികസിപ്പിക്കാൻ സാധിക്കും. ഇന്റർഫേസുകൾ നിർവചിക്കുക = { eth0, eth1 } പട്ടിക ip x {ചെയിൻ y {തരം ഫിൽട്ടർ ഹുക്ക് ഇൻപുട്ട് മുൻഗണന 0; നയം സ്വീകരിക്കുക; iifname vmap {lo : സ്വീകരിക്കുക, $ഇന്റർഫേസുകൾ: ഡ്രോപ്പ് } }} # nft -f x.nft # nft ലിസ്റ്റ് റൂൾസെറ്റ് പട്ടിക ip x {ചെയിൻ y {തരം ഫിൽട്ടർ ഹുക്ക് ഇൻപുട്ട് മുൻഗണന 0; നയം സ്വീകരിക്കുക; iifname vmap { "lo" : സ്വീകരിക്കുക, "eth0" : drop, "eth1" : drop } } }
• ഇടവേളകളിൽ vmaps (വിധി മാപ്പ്) സംയോജിപ്പിക്കുന്നത് അനുവദനീയമാണ്: # nft add rule xy tcp dport . ip saddr vmap { 1025-65535 . 192.168.10.2 : സ്വീകരിക്കുക}
• NAT മാപ്പിംഗുകൾക്കായുള്ള ലളിതമാക്കിയ വാക്യഘടന. വിലാസ ശ്രേണികൾ വ്യക്തമാക്കാൻ അനുവദിച്ചിരിക്കുന്നു: ... സ്നാറ്റ് ടു ip saddr മാപ്പ് { 10.141.11.4 : 192.168.2.2-192.168.2.4 } അല്ലെങ്കിൽ വ്യക്തമായ IP വിലാസങ്ങളും പോർട്ടുകളും: ... dnat to ip saddr മാപ്പ് { 10.141.11.4 :192.168.2.3 . 80 } അല്ലെങ്കിൽ IP ശ്രേണികളുടെയും പോർട്ടുകളുടെയും കോമ്പിനേഷനുകൾ: ... dnat to ip saddr . tcp dport മാപ്പ് { 192.168.1.2 . 80: 10.141.10.2-10.141.10.5. 8888-8999 }

അവലംബം: opennet.ru