nftables पॅकेट फिल्टर 1.0.1 रिलीज

पॅकेट फिल्टर nftables 1.0.1 चे प्रकाशन प्रकाशित झाले आहे, IPv4, IPv6, ARP आणि नेटवर्क ब्रिज (iptables, ip6table, arptables आणि ebtables बदलण्याच्या उद्देशाने) साठी पॅकेट फिल्टरिंग इंटरफेस एकत्र करणे. काम करण्यासाठी nftables 1.0.1 प्रकाशनासाठी आवश्यक बदल Linux कर्नल 5.16-rc1 मध्ये समाविष्ट केले आहेत.

nftables पॅकेजमध्ये पॅकेट फिल्टर घटक समाविष्ट आहेत जे वापरकर्ता स्पेसमध्ये चालतात, तर कर्नल-स्तरीय कार्य nf_tables उपप्रणालीद्वारे पुरवले जाते, जे रिलीज 3.13 पासून Linux कर्नलचा भाग आहे. कर्नल स्तर फक्त एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफेस प्रदान करतो जो पॅकेट्समधून डेटा काढण्यासाठी, डेटा ऑपरेशन्स करण्यासाठी आणि प्रवाह नियंत्रणासाठी मूलभूत कार्ये प्रदान करतो.

फिल्टरिंगचे नियम स्वतः आणि प्रोटोकॉल-विशिष्ट हँडलर्स वापरकर्ता-स्पेस बायटेकोडमध्ये संकलित केले जातात, त्यानंतर हा बायकोड नेटलिंक इंटरफेस वापरून कर्नलमध्ये लोड केला जातो आणि BPF (बर्कले पॅकेट फिल्टर) सदृश विशेष आभासी मशीनमध्ये कर्नलमध्ये कार्यान्वित केला जातो. हा दृष्टीकोन कर्नल स्तरावर चालत असलेल्या फिल्टरिंग कोडचा आकार लक्षणीयरीत्या कमी करणे आणि नियमांचे पार्सिंग करण्याचे सर्व कार्य आणि प्रोटोकॉलसह कार्य करण्याचे तर्क वापरकर्त्याच्या जागेत हलविणे शक्य करते.

मुख्य नवकल्पना:

• मोठा संच आणि नकाशा सूची लोड करताना कमी मेमरी वापर.
• संच आणि नकाशा याद्या रीलोडिंगला वेग आला आहे.
• मोठ्या नियम सेटमध्ये निवडलेल्या टेबल्स आणि चेनचे आउटपुट वेगवान केले गेले आहे. उदाहरणार्थ, 100 हजार पंक्तींसह नियमांचा संच प्रदर्शित करण्यासाठी “nft list ruleset” कमांडची अंमलबजावणी करण्याची वेळ 3.049 सेकंद आहे आणि जेव्हा फक्त nat आणि फिल्टर टेबल्स (“nft list table nat”, “nft list table filter ”) 1.969 आणि 0.697 सेकंदांपर्यंत कमी केले आहे.
• मोठ्या संच- आणि नकाशा-याद्यांसह नियमांवर प्रक्रिया करताना “--terse” पर्यायासह क्वेरीच्या अंमलबजावणीला वेग आला आहे.
• "एग्रेस" साखळीतून रहदारी फिल्टर करणे शक्य आहे, ज्याची प्रक्रिया नेटडेव्ह चेन (एग्रेस हुक) मधील एग्रेस हँडलर प्रमाणेच केली जाते. स्टेजवर जेव्हा ड्रायव्हरला कर्नल नेटवर्क स्टॅकमधून पॅकेट मिळते. टेबल नेटदेव फिल्टर { चेन एग्रेस { प्रकार फिल्टर हुक इग्रेस डिव्हाइसेस = { इथ0, इथ1 } प्राधान्य 0; मेटा प्रायॉरिटी सेट ip saddr नकाशा { 192.168.10.2 : abcd:2, 192.168.10.3 : abcd:3 } }
• दिलेल्या ऑफसेटवर पॅकेटच्या शीर्षलेख आणि सामग्रीमधील बाइट्सचे जुळणी आणि बदल करण्यास अनुमती देते. # nft जोडा नियम xy @ih,32,32 0x14000000 काउंटर # nft जोडा नियम xy @ih,32,32 सेट 0x14000000 काउंटर

स्त्रोत: opennet.ru