nftables पॅकेट फिल्टर 0.9.3 रिलीज

प्रकाशित पॅकेट फिल्टर रिलीझ nftables 0.9.3, IPv6, IPv4, ARP आणि नेटवर्क ब्रिजसाठी पॅकेट फिल्टरिंग इंटरफेस एकत्र करून iptables, ip6table, arptables आणि ebtables साठी बदली म्हणून विकसित होत आहे. nftables पॅकेजमध्ये पॅकेट फिल्टर घटक समाविष्ट आहेत जे वापरकर्ता स्पेसमध्ये चालतात, तर कर्नल-स्तरीय कार्य nf_tables उपप्रणालीद्वारे पुरवले जाते, जे रिलीज 3.13 पासून Linux कर्नलचा भाग आहे. काम करण्यासाठी nftables 0.9.3 प्रकाशनासाठी आवश्यक बदल आगामी Linux 5.5 कर्नल शाखेत समाविष्ट केले आहेत.

कर्नल स्तर फक्त एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफेस प्रदान करतो जो पॅकेट्समधून डेटा काढण्यासाठी, डेटा ऑपरेशन्स करण्यासाठी आणि प्रवाह नियंत्रणासाठी मूलभूत कार्ये प्रदान करतो. फिल्टरिंग लॉजिक स्वतः आणि प्रोटोकॉल-विशिष्ट हँडलर्स युजर स्पेसमधील बायटेकोडमध्ये संकलित केले जातात, त्यानंतर हा बायकोड नेटलिंक इंटरफेस वापरून कर्नलमध्ये लोड केला जातो आणि BPF (बर्कले पॅकेट फिल्टर) ची आठवण करून देणार्‍या विशेष आभासी मशीनमध्ये कार्यान्वित केला जातो. हा दृष्टिकोन तुम्हाला कर्नल स्तरावर चालत असलेल्या फिल्टरिंग कोडचा आकार लक्षणीयरीत्या कमी करण्यास आणि प्रोटोकॉलसह कार्य करण्यासाठी वापरकर्त्याच्या जागेत नियम आणि तर्कशास्त्र पार्सिंगची सर्व कार्ये हलविण्याची परवानगी देतो.

मुख्य नवकल्पना:

• वेळेनुसार पॅकेट जुळण्यासाठी समर्थन. तुम्ही वेळ आणि तारीख दोन्ही श्रेणी परिभाषित करू शकता ज्यामध्ये नियम ट्रिगर केला जाईल आणि आठवड्याच्या वैयक्तिक दिवसांवर ट्रिगरिंग कॉन्फिगर करू शकता. सेकंदांमध्ये युगाचा काळ प्रदर्शित करण्यासाठी "-T" हा नवीन पर्याय देखील जोडला.

  मेटा वेळ \"2019-12-24 16:00\" — \"2020-01-02 7:00\"
  मेटा तास \"17:00\" - \"19:00\"
  मेटा डे \"शुक्र\"

• SELinux मार्क्स (सेकमार्क) पुनर्प्राप्त करण्यासाठी आणि जतन करण्यासाठी समर्थन.

  सीटी सेकमार्क सेट मेटा सेकमार्क
  मेटा सेकमार्क सेट सीटी सेकमार्क

• सिंप्रॉक्सी नकाशा सूचीसाठी समर्थन, तुम्हाला प्रति बॅकएंड एकापेक्षा जास्त नियम परिभाषित करण्याची परवानगी देते.

  टेबल ip foo {
  synproxy https-synproxy {
  एमएसएस 1460
  wscale 7
  टाइमस्टॅम्प sack-perm
  }

  synproxy इतर-synproxy {
  एमएसएस 1460
  wscale 5
  }

  साखळी पूर्व {
  प्रकार फिल्टर हुक प्रीरूटिंग प्राधान्य कच्चा; धोरण स्वीकारणे;
  tcp dport 8888 tcp ध्वज syn notrack
  }

  साखळी बार {
  फिल्टर हुक फॉरवर्ड प्रायॉरिटी फिल्टर टाइप करा; धोरण स्वीकारणे;
  ct स्थिती अवैध, अनट्रॅक केलेले सिंप्रॉक्सी नाव ip saddr नकाशा { 192.168.1.0/24 : “https-synproxy”, 192.168.2.0/24 : “other-synproxy” }
  }
  }

• पॅकेट प्रक्रिया नियमांमधून सेट घटक डायनॅमिकपणे काढून टाकण्याची क्षमता.

  nft जोडा नियम ... हटवा @set5 { ip6 saddr . ip6 daddr}

• नेटवर्क ब्रिज इंटरफेस मेटाडेटामध्ये परिभाषित ID आणि प्रोटोकॉलद्वारे VLAN मॅपिंगसाठी समर्थन;

  मेटा ibrpvid 100
  मेटा ibrvproto vlan

• नियम प्रदर्शित करताना सेट सेटचे घटक वगळण्यासाठी "-t" ("--terse") पर्याय. "nft -t list नियमसेट" चालवल्याने आउटपुट होईल:

  टेबल ip x {
  सेट y {
  ipv4_addr टाइप करा
  }
  }

  आणि "nft सूची नियमसेट" सह

  टेबल ip x {
  सेट y {
  ipv4_addr टाइप करा
  घटक = { 192.168.10.2, 192.168.20.1,
  १९२.१६८.४.४, १९२.१६८.२.३४ }
  }
  }

• सामान्य फिल्टरिंग नियम एकत्र करण्यासाठी नेटडेव्ह चेनमध्ये (केवळ कर्नल 5.5 सह कार्य करते) एकापेक्षा जास्त डिव्हाइस निर्दिष्ट करण्याची क्षमता.

  netdev x टेबल जोडा
  साखळी जोडा netdev xy { \
  फिल्टर हुक इनग्रेस डिव्हाइसेस टाइप करा = { eth0, eth1 } प्राधान्य 0;
  }

• डेटा प्रकारांचे वर्णन जोडण्याची क्षमता.

  #nft ipv4_addr चे वर्णन करा
  डेटाटाइप ipv4_addr (IPv4 पत्ता) (बेसटाइप पूर्णांक), 32 बिट

• libreadline ऐवजी linenoise लायब्ररीसह CLI इंटरफेस तयार करण्याची क्षमता.

  ./configure --with-cli=linenoise

स्त्रोत: opennet.ru