nftables पॅकेट फिल्टर 0.9.9 रिलीज

पॅकेट फिल्टर nftables 0.9.9 चे प्रकाशन प्रकाशित झाले आहे, IPv4, IPv6, ARP आणि नेटवर्क ब्रिज (iptables, ip6table, arptables आणि ebtables बदलण्याच्या उद्देशाने) साठी पॅकेट फिल्टरिंग इंटरफेस एकत्र करणे. त्याच वेळी, सहचर लायब्ररी libnftnl 1.2.0 चे प्रकाशन प्रकाशित झाले, जे nf_tables उपप्रणालीशी संवाद साधण्यासाठी निम्न-स्तरीय API प्रदान करते. nftables 0.9.9 रिलीझ कार्य करण्यासाठी आवश्यक असलेले बदल Linux कर्नल 5.13-rc1 मध्ये समाविष्ट केले आहेत.

nftables पॅकेजमध्ये पॅकेट फिल्टर घटक समाविष्ट आहेत जे वापरकर्ता स्पेसमध्ये चालतात, तर कर्नल-स्तरीय कार्य nf_tables उपप्रणालीद्वारे पुरवले जाते, जे रिलीज 3.13 पासून Linux कर्नलचा भाग आहे. कर्नल स्तर फक्त एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफेस प्रदान करतो जो पॅकेट्समधून डेटा काढण्यासाठी, डेटा ऑपरेशन्स करण्यासाठी आणि प्रवाह नियंत्रणासाठी मूलभूत कार्ये प्रदान करतो.

फिल्टरिंगचे नियम स्वतः आणि प्रोटोकॉल-विशिष्ट हँडलर्स वापरकर्ता-स्पेस बायटेकोडमध्ये संकलित केले जातात, त्यानंतर हा बायकोड नेटलिंक इंटरफेस वापरून कर्नलमध्ये लोड केला जातो आणि BPF (बर्कले पॅकेट फिल्टर) सदृश विशेष आभासी मशीनमध्ये कर्नलमध्ये कार्यान्वित केला जातो. हा दृष्टीकोन कर्नल स्तरावर चालत असलेल्या फिल्टरिंग कोडचा आकार लक्षणीयरीत्या कमी करणे आणि नियमांचे पार्सिंग करण्याचे सर्व कार्य आणि प्रोटोकॉलसह कार्य करण्याचे तर्क वापरकर्त्याच्या जागेत हलविणे शक्य करते.

मुख्य नवकल्पना:

• फ्लोटेबल प्रोसेसिंग नेटवर्क अडॅप्टर बाजूला हलवण्याची क्षमता लागू केली गेली आहे, 'ऑफलोड' ध्वज वापरून सक्षम केली आहे. फ्लोटेबल ही पॅकेट रीडायरेक्शनचा मार्ग ऑप्टिमाइझ करण्यासाठी एक यंत्रणा आहे, ज्यामध्ये सर्व नियम प्रक्रिया साखळ्यांचा संपूर्ण रस्ता फक्त पहिल्या पॅकेटवर लागू केला जातो आणि प्रवाहातील इतर सर्व पॅकेट थेट अग्रेषित केले जातात. टेबल ip ग्लोबल { फ्लोटेबल f { हुक प्रवेश प्राधान्य फिल्टर + 1 डिव्हाइस = { lan3, lan0, wan } फ्लॅग ऑफलोड } चेन फॉरवर्ड { टाईप फिल्टर हुक फॉरवर्ड प्रायॉरिटी फिल्टर; धोरण स्वीकारणे; ip प्रोटोकॉल { tcp, udp } फ्लो अॅड @f } चेन पोस्ट { टाईप नेट हुक पोस्टरूटिंग प्रायॉरिटी फिल्टर; धोरण स्वीकारणे; oifname "वॅन" मास्करेड } }
• एका प्रक्रियेद्वारे टेबलचा अनन्य वापर सुनिश्चित करण्यासाठी टेबलवर मालक ध्वज संलग्न करण्यासाठी समर्थन जोडले. प्रक्रिया संपुष्टात आल्यावर, त्याच्याशी संबंधित सारणी आपोआप हटविली जाते. प्रक्रियेबद्दलची माहिती टिप्‍पणीच्‍या स्‍वरूपात नियम डंपमध्‍ये प्रदर्शित केली जाते: टेबल ip x { # progname nft flags owner chain y { type filter hook input priority filter; धोरण स्वीकारणे; काउंटर पॅकेट 1 बाइट 309 } }
• IEEE 802.1ad स्पेसिफिकेशन (VLAN स्टॅकिंग किंवा QinQ) साठी समर्थन जोडले आहे, जे एकाच इथरनेट फ्रेममध्ये एकाधिक VLAN टॅग बदलण्याचे साधन परिभाषित करते. उदाहरणार्थ, बाह्य इथरनेट फ्रेम 8021ad आणि vlan id=342 चा प्रकार तपासण्यासाठी, तुम्ही बांधकाम वापरू शकता ... इथर टाईप करा 802.1ad vlan id 342 इथरनेट फ्रेमचा बाह्य प्रकार तपासण्यासाठी 8021ad/vlan id=1, नेस्टेड 802.1 q/vlan id=2 आणि पुढील IP पॅकेट encapsulation: ... इथर प्रकार 8021ad vlan id 1 vlan प्रकार 8021q vlan id 2 vlan प्रकार ip counter
• युनिफाइड पदानुक्रम cgroups v2 वापरून संसाधने व्यवस्थापित करण्यासाठी समर्थन जोडले. cgroups v2 आणि v1 मधील मुख्य फरक म्हणजे CPU संसाधने वाटप करण्यासाठी, मेमरी वापराचे नियमन करण्यासाठी आणि I/O साठी स्वतंत्र पदानुक्रमांऐवजी सर्व प्रकारच्या संसाधनांसाठी सामान्य cgroups पदानुक्रमाचा वापर. उदाहरणार्थ, पहिल्या स्तरावरील cgroupv2 वरील सॉकेटचा पूर्वज “system.slice” मास्कशी जुळतो की नाही हे तपासण्यासाठी, तुम्ही बांधकाम वापरू शकता: ... socket cgroupv2 स्तर 1 “system.slice”
• SCTP पॅकेटचे घटक तपासण्याची क्षमता जोडली (यासाठी आवश्यक कार्यक्षमता Linux कर्नल 5.14 मध्ये दिसून येईल). उदाहरणार्थ, पॅकेटमध्ये 'डेटा' टाईप आणि फील्ड 'टाइप' असलेला भाग आहे की नाही हे तपासण्यासाठी: ... sctp चंक डेटा अस्तित्वात आहे ... sctp भाग डेटा प्रकार 0
• नियम लोडिंग ऑपरेशनची अंमलबजावणी "-f" ध्वज वापरून अंदाजे दोन वेळा वेगवान झाली आहे. नियमांच्या यादीचे आउटपुट देखील वेगवान झाले आहे.
• ध्वज बिट्स सेट आहेत की नाही हे तपासण्यासाठी एक संक्षिप्त फॉर्म प्रदान केला आहे. उदाहरणार्थ, snat आणि dnat स्थिती बिट्स सेट केलेले नाहीत हे तपासण्यासाठी, तुम्ही निर्दिष्ट करू शकता: ... ct स्थिती ! snat,dnat बिटमास्कमध्ये syn बिट सेट केले आहे हे तपासण्यासाठी. ... tcp ध्वज ! = फिन, rst / syn, ack, fin, rst
• सेट/नकाशा प्रकारातील परिभाषांमध्ये "निर्णय" कीवर्डला अनुमती द्या: नकाशा xm { typeof iifname जोडा. आयपी प्रोटोकॉल th dport : निर्णय;}

स्त्रोत: opennet.ru