nftables പാക്കറ്റ് ഫിൽട്ടർ 1.0.2 റിലീസ്

IPv1.0.2, IPv4, ARP, നെറ്റ്‌വർക്ക് ബ്രിഡ്ജുകൾ (iptables, ip6table, arptables, ebtables എന്നിവ മാറ്റിസ്ഥാപിക്കാൻ ലക്ഷ്യമിട്ടുള്ള) പാക്കറ്റ് ഫിൽട്ടറിംഗ് ഇന്റർഫേസുകൾ ഏകീകരിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ nftables 6 പുറത്തിറക്കി. nftables 1.0.2 റിലീസ് പ്രവർത്തിക്കുന്നതിന് ആവശ്യമായ മാറ്റങ്ങൾ Linux കേർണൽ 5.17-rc-ൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്.

nftables പാക്കേജിൽ യൂസർ സ്പേസിൽ പ്രവർത്തിക്കുന്ന പാക്കറ്റ് ഫിൽട്ടർ ഘടകങ്ങൾ ഉൾപ്പെടുന്നു, അതേസമയം കേർണൽ-ലെവൽ വർക്ക് നൽകുന്നത് 3.13 റിലീസ് മുതൽ Linux കേർണലിന്റെ ഭാഗമായ nf_tables സബ്സിസ്റ്റമാണ്. പാക്കറ്റുകളിൽ നിന്ന് ഡാറ്റ എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നതിനും ഡാറ്റ പ്രവർത്തനങ്ങൾ നടത്തുന്നതിനും ഫ്ലോ കൺട്രോൾ ചെയ്യുന്നതിനുമുള്ള അടിസ്ഥാന പ്രവർത്തനങ്ങൾ നൽകുന്ന ഒരു ജനറിക് പ്രോട്ടോക്കോൾ-സ്വതന്ത്ര ഇന്റർഫേസ് മാത്രമാണ് കേർണൽ ലെവൽ നൽകുന്നത്.

ഫിൽട്ടറിംഗ് നിയമങ്ങളും പ്രോട്ടോക്കോൾ-നിർദ്ദിഷ്‌ട ഹാൻഡ്‌ലറുകളും യൂസർ-സ്‌പേസ് ബൈറ്റ്‌കോഡിലേക്ക് കംപൈൽ ചെയ്യുന്നു, അതിനുശേഷം ഈ ബൈറ്റ്‌കോഡ് നെറ്റ്‌ലിങ്ക് ഇന്റർഫേസ് ഉപയോഗിച്ച് കേർണലിലേക്ക് ലോഡ് ചെയ്യുകയും ബിപിഎഫ് (ബെർക്ക്‌ലി പാക്കറ്റ് ഫിൽട്ടറുകൾ) പോലെയുള്ള ഒരു പ്രത്യേക വെർച്വൽ മെഷീനിൽ കേർണലിൽ എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. ഈ സമീപനം കേർണൽ തലത്തിൽ പ്രവർത്തിക്കുന്ന ഫിൽട്ടറിംഗ് കോഡിന്റെ വലുപ്പം ഗണ്യമായി കുറയ്ക്കുകയും പാഴ്സിംഗ് നിയമങ്ങളുടെ എല്ലാ പ്രവർത്തനങ്ങളും പ്രോട്ടോക്കോളുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്ന ലോജിക്കും യൂസർ സ്പേസിലേക്ക് നീക്കുകയും ചെയ്യുന്നു.

പ്രധാന കണ്ടുപിടുത്തങ്ങൾ:

• ഒരു റൂൾസ് ഒപ്റ്റിമൈസേഷൻ മോഡ് ചേർത്തു, പുതിയ "-o" ("--ഒപ്റ്റിമൈസ്") ഓപ്‌ഷൻ ഉപയോഗിച്ച് പ്രവർത്തനക്ഷമമാക്കി, അത് "--ചെക്ക്" ഓപ്‌ഷനുമായി സംയോജിപ്പിച്ച് റൂൾസെറ്റ് ഫയൽ ലോഡുചെയ്യാതെ തന്നെ അതിലെ മാറ്റങ്ങൾ പരിശോധിക്കാനും ഒപ്റ്റിമൈസ് ചെയ്യാനും കഴിയും. . സമാന നിയമങ്ങൾ സംയോജിപ്പിക്കാൻ ഒപ്റ്റിമൈസേഷൻ നിങ്ങളെ അനുവദിക്കുന്നു, ഉദാഹരണത്തിന്, നിയമങ്ങൾ: meta iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 സ്വീകരിക്കുക meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.5 സ്വീകരിക്കുക ip daddr 1.1.1.1 ip daddr.2.2.2.2. .2.2.2.2 സ്വീകരിക്കുക ip saddr 3.3.3.3 ip daddr XNUMX drop

  മെറ്റാ iifname ആയി കൂട്ടിച്ചേർക്കും. ip saddr. ip daddr { eth1 . 1.1.1.1. 2.2.2.3, eth1 . 1.1.1.2. 2.2.2.5 } ip saddr സ്വീകരിക്കുക. ip daddr vmap { 1.1.1.1 . 2.2.2.2 : സ്വീകരിക്കുക, 2.2.2.2 . 3.3.3.3 : ഡ്രോപ്പ്}

  ഉദാഹരണ ഉപയോഗം: # nft -c -o -f ruleset.test Merging: ruleset.nft:16:3-37: ip daddr 192.168.0.1 counter accept ruleset.nft:17:3-37: ip daddr 192.168.0.2 കൌണ്ടർ സ്വീകരിക്കുക ruleet.nft:18:3-37: ip daddr 192.168.0.3 കൌണ്ടർ സ്വീകരിക്കുക

• സെറ്റ് ലിസ്റ്റുകൾ ip, tcp ഓപ്ഷനുകളും അതുപോലെ sctp ചങ്കുകളും വ്യക്തമാക്കാനുള്ള കഴിവ് നടപ്പിലാക്കുന്നു: സെറ്റ് s5 {typeof ip ഓപ്ഷൻ ra മൂല്യ ഘടകങ്ങൾ = { 1, 1024 } } സെറ്റ് s7 { typeof sctp chunk init num-inbound-streams elements = { 1, 4 } } ചെയിൻ c5 { ip ഓപ്ഷൻ ra മൂല്യം @s5 സ്വീകരിക്കുക } ചെയിൻ c7 { sctp chunk init num-inbound-streams @s7 accept }
• TCP ഓപ്‌ഷനുകൾക്കുള്ള പിന്തുണ ചേർത്തു fastopen, md5sig, mptcp.
• മാപ്പിംഗിൽ mp-tcp സബ്ടൈപ്പ് ഉപയോഗിക്കുന്നതിനുള്ള പിന്തുണ ചേർത്തു: tcp ഓപ്ഷൻ mptcp സബ്ടൈപ്പ് 1
• മെച്ചപ്പെടുത്തിയ കേർണൽ-സൈഡ് ഫിൽട്ടറിംഗ് കോഡ്.
• ഫ്ലോടേബിളിന് ഇപ്പോൾ JSON ഫോർമാറ്റിന് പൂർണ്ണ പിന്തുണയുണ്ട്.
• ഇഥർനെറ്റ് ഫ്രെയിം മാച്ചിംഗ് പ്രവർത്തനങ്ങളിൽ "നിരസിക്കുക" പ്രവർത്തനം ഉപയോഗിക്കാനുള്ള കഴിവ് നൽകിയിട്ടുണ്ട്. ether saddr aa:bb:cc:dd:ee:ff ip daddr 192.168.0.1 നിരസിക്കുക

അവലംബം: opennet.ru