nftables पॅकेट फिल्टर 1.0.6 रिलीज

nftables 1.0.6 पॅकेट फिल्टर रिलीझ प्रकाशित केले गेले आहे, IPv4, IPv6, ARP आणि नेटवर्क ब्रिजसाठी पॅकेट फिल्टरिंग इंटरफेस एकत्रित करत आहे (iptables, ip6table, arptables आणि ebtables बदलण्याच्या उद्देशाने). nftables पॅकेजमध्ये पॅकेट फिल्टर घटक समाविष्ट आहेत जे वापरकर्ता स्पेसमध्ये चालतात, तर कर्नल स्तर nf_tables उपप्रणालीद्वारे पुरवले जाते, जे रिलीज 3.13 पासून Linux कर्नलचा भाग आहे. कर्नल स्तरावर, फक्त एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफेस प्रदान केला जातो जो पॅकेटमधून डेटा काढण्यासाठी, डेटावर ऑपरेशन्स करण्यासाठी आणि प्रवाह नियंत्रित करण्यासाठी मूलभूत कार्ये प्रदान करतो.

फिल्टरिंगचे नियम स्वतः आणि प्रोटोकॉल-विशिष्ट हँडलर्स वापरकर्ता-स्पेस बायटेकोडमध्ये संकलित केले जातात, त्यानंतर हा बायकोड नेटलिंक इंटरफेस वापरून कर्नलमध्ये लोड केला जातो आणि BPF (बर्कले पॅकेट फिल्टर) सदृश विशेष आभासी मशीनमध्ये कर्नलमध्ये कार्यान्वित केला जातो. हा दृष्टीकोन कर्नल स्तरावर चालत असलेल्या फिल्टरिंग कोडचा आकार लक्षणीयरीत्या कमी करणे आणि नियमांचे पार्सिंग करण्याचे सर्व कार्य आणि प्रोटोकॉलसह कार्य करण्याचे तर्क वापरकर्त्याच्या जागेत हलविणे शक्य करते.

मुख्य बदल:

• नियम ऑप्टिमायझरमध्ये "-o/--ऑप्टिमाइझ" पर्याय निर्दिष्ट करताना, नियमांचे स्वयंचलित पॅकेजिंग त्यांना एकत्रित करून आणि नकाशा- आणि सेट-यादींमध्ये रूपांतरित करून सेट केले गेले आहे. उदाहरणार्थ, नियम # cat ruleset.nft टेबल ip x { चेन y { प्रकार फिल्टर हुक इनपुट प्राधान्य फिल्टर; पॉलिसी ड्रॉप; meta iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 स्वीकारा meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.4 स्वीकारा meta iifname eth1 ip saddr 1.1.1.2 ip2.2.3.0 ip24.ifname saddr/1 स्वीकार करा १.१ .1.1.1.2 ip daddr 2.2.4.0-2.2.4.10 मेटा iifname eth2 ip saddr 1.1.1.3 ip daddr 2.2.2.5 स्वीकारा } } नंतर "nft -o -c -f ruleset.nft" खालील मध्ये रूपांतरित केले जाईल: नियमसेट. nft:4:17-74: meta iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 accept ruleset.nft:5:17-74: meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.4.ftn6 नियम स्वीकारा 17:77-1: meta iifname eth1.1.1.2 ip saddr 2.2.3.0 ip daddr 24/7 स्वीकारा ruleset.nft:17:83-1: meta iifname eth1.1.1.2 ip saddr 2.2.4.0 ip daddr 2.2.4.10. स्वीकारा ruleset.nft:8:17-74: meta iifname eth2 ip saddr 1.1.1.3 ip daddr 2.2.2.5 स्वीकारा: iifname . ip sadr . ip daddr { eth1 . 1.1.1.1. 2.2.2.3, eth1 . 1.1.1.2. 2.2.2.4, eth1 . 1.1.1.2. 2.2.3.0/24, eth1 . 1.1.1.2. 2.2.4.0-2.2.4.10, eth2 . 1.1.1.3. २.२.२.५ } स्वीकारा
• ऑप्टिमायझर नियम देखील कंडेन्स करू शकतो जे आधीपासून साध्या सेटलिस्टचा वापर अधिक संक्षिप्त स्वरूपात करतात, जसे की: # cat ruleset.nft टेबल ip फिल्टर { चेन इनपुट { प्रकार फिल्टर हुक इनपुट प्राधान्य फिल्टर; पॉलिसी ड्रॉप; iifname "lo" स्‍वीकार ct स्‍टेट स्‍थापित, संबंधित स्‍वीकार कमेंट "आम्ही ट्रॅफिकमध्ये उत्‍पन्‍न झाल्‍यावर, आमचा विश्‍वास आहे" iifname "enp0s31f6" ip saddr { 209.115.181.102, 216.197.228.230 } ip daddr 10.0.0.149 123 स्वीकारा iifname "enp32768s65535f0" ip saddr { 31, 6 } ip daddr 64.59.144.17 udp sport 64.59.150.133 udp dport 10.0.0.149-53 हे ftn संकुल स्वीकारल्यानंतर "-ftn" } ftn याप्रमाणे चालत असलेले पॅकेज स्वीकारले जाईल. : Ruleset.nft:32768:65535-6: iifname "enp22s149f0" ip saddr { 31, 6 } ip daddr 209.115.181.102 udp स्पोर्ट नियम 216.197.228.230-ft dp udp10.0.0.149 d123 स्वीकारा :२२-१ ४३ : iifname "enp32768s65535f7" ip saddr { 22, 143 } ip daddr 0 udp sport 31 udp dport 6-64.59.144.17 मध्ये स्वीकारा: iifname. ip sadr . ip daddr . udp स्पोर्ट udp dport { enp64.59.150.133s10.0.0.149f53 . 32768 . १०.०.०.१४९ . 65535 . 0-31, enp6s209.115.181.102f10.0.0.149 . 123 . १०.०.०.१४९ . 32768 . 65535-0, enp31s6f216.197.228.230 . ६४.५९.१४४.१७. १०.०.०.१४९ . ५३ . 10.0.0.149-123, enp32768s65535f0 . ६४.५९.१५०.१३३. १०.०.०.१४९ . ५३ . ३२७६८-६५५३५ } स्वीकारा
• IPv4 (नेटवर्क एंडिअन) आणि मेटा मार्क (सिस्टम एंडियन) सारख्या भिन्न एंडिअननेससह प्रकार वापरणार्‍या इंटरव्हल्स विलीन करण्यासाठी बाइटकोड जनरेशनसह समस्येचे निराकरण केले. टेबल ip x { नकाशा w { ip saddr चा प्रकार . मेटा मार्क : व्हर्जेक्ट फ्लॅग इंटरव्हल काउंटर एलिमेंट्स = { 127.0.0.1-127.0.0.4 . 0x123434-0xb00122 : स्वीकारा, 192.168.0.10-192.168.1.20 . 0x0000aa00-0x0000aaff : स्वीकारा, } } चेन k { प्रकार फिल्टर हुक इनपुट प्राधान्य फिल्टर; पॉलिसी ड्रॉप; ip sadr . मेटा मार्क vmap @w } }
• कच्चे अभिव्यक्ती वापरताना सुधारित दुर्मिळ प्रोटोकॉल मॅपिंग, उदाहरणार्थ: meta l4proto 91 @th,400,16 0x0 स्वीकार
• अंतराने नियम सक्षम करण्याच्या समस्यांचे निराकरण करा: नियम xy tcp स्पोर्ट { 3478-3497, 16384-16387 } काउंटर स्वीकारा
• सेट आणि नकाशा सूचीमधील अभिव्यक्तींना समर्थन देण्यासाठी JSON API सुधारित केले गेले आहे.
• nftables python library च्या विस्तारांमध्ये, नियम संचांना चेक मोडमध्ये ("-c") प्रक्रिया करण्यासाठी लोड करण्याची परवानगी आहे आणि बाह्य व्हेरिएबल परिभाषासाठी समर्थन जोडले गेले आहे.
• सेट-लिस्टच्या घटकांमध्ये टिप्पण्या जोडण्याची परवानगी आहे.
• बाइट रेटलिमिटमध्ये शून्य मूल्य निर्दिष्ट करण्याची परवानगी आहे.

स्त्रोत: opennet.ru