nftables पॅकेट फिल्टर 1.0.7 रिलीज

nftables 1.0.7 पॅकेट फिल्टर रिलीझ प्रकाशित केले गेले आहे, IPv4, IPv6, ARP आणि नेटवर्क ब्रिजसाठी पॅकेट फिल्टरिंग इंटरफेस एकत्रित करत आहे (iptables, ip6table, arptables आणि ebtables बदलण्याच्या उद्देशाने). nftables पॅकेजमध्ये पॅकेट फिल्टर घटक समाविष्ट आहेत जे वापरकर्ता स्पेसमध्ये चालतात, तर कर्नल स्तर nf_tables उपप्रणालीद्वारे पुरवले जाते, जे रिलीज 3.13 पासून Linux कर्नलचा भाग आहे. कर्नल स्तरावर, फक्त एक सामान्य प्रोटोकॉल-स्वतंत्र इंटरफेस प्रदान केला जातो जो पॅकेटमधून डेटा काढण्यासाठी, डेटावर ऑपरेशन्स करण्यासाठी आणि प्रवाह नियंत्रित करण्यासाठी मूलभूत कार्ये प्रदान करतो.

फिल्टरिंगचे नियम स्वतः आणि प्रोटोकॉल-विशिष्ट हँडलर्स वापरकर्ता-स्पेस बायटेकोडमध्ये संकलित केले जातात, त्यानंतर हा बायकोड नेटलिंक इंटरफेस वापरून कर्नलमध्ये लोड केला जातो आणि BPF (बर्कले पॅकेट फिल्टर) सदृश विशेष आभासी मशीनमध्ये कर्नलमध्ये कार्यान्वित केला जातो. हा दृष्टीकोन कर्नल स्तरावर चालत असलेल्या फिल्टरिंग कोडचा आकार लक्षणीयरीत्या कमी करणे आणि नियमांचे पार्सिंग करण्याचे सर्व कार्य आणि प्रोटोकॉलसह कार्य करण्याचे तर्क वापरकर्त्याच्या जागेत हलविणे शक्य करते.

मुख्य बदल:

• लिनक्स कर्नल 6.2+ चालवणाऱ्या प्रणालींसाठी, vxlan, geneve, gre, आणि gretap प्रोटोकॉल मॅपिंगसाठी समर्थन जोडले गेले आहे, ज्यामुळे साध्या अभिव्यक्तींना encapsulated packets मध्ये शीर्षलेख तपासता येतो. उदाहरणार्थ, VxLAN मधील नेस्टेड पॅकेटच्या शीर्षलेखातील IP पत्ता तपासण्यासाठी, तुम्ही आता नियम वापरू शकता (प्रथम VxLAN शीर्षलेख डी-एनकॅप्स्युलेट करण्याची आणि फिल्टरला vxlan0 इंटरफेसमध्ये बांधण्याची गरज न ठेवता): ... udp dport 4789 vxlan ip प्रोटोकॉल udp ... udp dport 4789 vxlan ip saddr 1.2.3.0. 24/4789 ... udp dport 1.2.3.4 vxlan ip saddr . vxlan ip daddr { 4.3.2.1 . ४.३.२.१}
• सेट-लिस्ट घटकाच्या आंशिक हटविल्यानंतर उर्वरित स्वयंचलित विलीनीकरणासाठी समर्थन लागू केले गेले आहे, जे तुम्हाला विद्यमान श्रेणीतील घटक किंवा श्रेणीचा भाग हटविण्याची परवानगी देते (पूर्वी, श्रेणी केवळ संपूर्णपणे हटविली जाऊ शकते). उदाहरणार्थ, 25-24 आणि 30-40 श्रेणी असलेल्या सेट सूचीमधून घटक 50 काढून टाकल्यानंतर, यादी 24, 26-30 आणि 40-50 राहील. 5.10+ कर्नलच्या स्थिर शाखांच्या मेंटेनन्स रिलीझमध्ये काम करण्यासाठी ऑटोमर्जिंगसाठी आवश्यक निराकरणे ऑफर केली जातील. # nft सूची नियमसेट सारणी ip x { सेट y { प्रकारचा tcp dport ध्वज अंतराल स्वयं-विलीन घटक = { 24-30, 40-50 } } } # nft घटक हटवा ip xy { 25 } # nft सूची नियमपत्र सारणी ip x { सेट y { प्रकारचा tcp dport फ्लॅग इंटरव्हल ऑटो-मर्ज घटक = { 24, 26-30, 40-50 } }
• पत्ता अनुवाद (NAT) मॅप करताना संपर्क आणि श्रेणी वापरण्याची अनुमती देते. टेबल ip nat { चेन prerouting { type nat hook prerouting priority dstnat; धोरण स्वीकारणे; dnat ते ip daddr. tcp dport नकाशा { 10.1.1.136 . ८०: १.१.२.६९. 80, 1.1.2.69-1024. ८८८८-८८८९: १.१.२.६९. 10.1.1.10-10.1.1.20 } कायम } }
• "अंतिम" अभिव्यक्तीसाठी समर्थन जोडले, जे तुम्हाला नियम घटक किंवा सेट सूचीच्या शेवटच्या वापराची वेळ शोधू देते. Linux कर्नल 5.14 पासून सुरू होणारे वैशिष्ट्य समर्थित आहे. टेबल ip x { सेट y { ip daddr चा प्रकार . tcp dport आकार 65535 ध्वज डायनॅमिक, कालबाह्य अंतिम कालबाह्य 1h } चेन z { प्रकार फिल्टर हुक आउटपुट प्राधान्य फिल्टर; धोरण स्वीकारणे; अद्यतन @y { ip daddr . tcp dport } } } # nft सूची सेट ip xy टेबल ip x { सेट y { ip daddr प्रकार . tcp dport आकार 65535 ध्वज डायनॅमिक, टाइमआउट अंतिम टाइमआउट 1h घटक = { 172.217.17.14 . 443 शेवटचा वापरला 1s591ms कालबाह्य 1h कालबाह्य 59m58s409ms, 172.67.69.19 . 443 शेवटचा वापरलेला 4s636ms कालबाह्य 1h कालबाह्य 59m55s364ms, 142.250.201.72 . 443 शेवटचा वापरलेला 4s748ms कालबाह्य 1h कालबाह्य 59m55s252ms, 172.67.70.134 . 443 शेवटचे वापरलेले 4s688ms कालबाह्य 1h कालबाह्य होते 59m55s312ms, 35.241.9.150 . 443 शेवटचा वापरला 5s204ms कालबाह्य 1h कालबाह्य 59m54s796ms, 138.201.122.174 . 443 शेवटचा वापरला 4s537ms कालबाह्य 1h कालबाह्य 59m55s463ms, 34.160.144.191 . 443 शेवटचा वापरला 5s205ms कालबाह्य 1h कालबाह्य 59m54s795ms, 130.211.23.194 . 443 शेवटचा वापरलेला 4s436ms कालबाह्य 1h कालबाह्य 59m55s564ms } }
• सेट सूचीमध्ये कोटा परिभाषित करण्याची क्षमता जोडली. उदाहरणार्थ, प्रत्येक लक्ष्य IP पत्त्यासाठी रहदारी कोटा निर्धारित करण्यासाठी, आपण निर्दिष्ट करू शकता: सारणी netdev x { सेट y { typeof ip daddr आकार 65535 10000 mbytes वरील कोटा } चेन y { प्रकार फिल्टर हुक इग्रेस डिव्हाइस "eth0" प्राधान्य फिल्टर; धोरण स्वीकारणे; ip daddr @y ड्रॉप } } # nft ऍड एलिमेंट inet xy { 8.8.8.8 } # ping -c 2 8.8.8.8 # nft लिस्ट रूलसेट टेबल नेटदेव x { सेट y { टाइप करा ipv4_addr आकार 65535 कोटा 10000 mbytes = 8.8.8.8 घटकांवर. 10000 कोटा 196 mbytes पेक्षा जास्त वापरले 0 bytes } } चेन y { प्रकार फिल्टर हुक इग्रेस डिव्हाइस "ethXNUMX" प्राधान्य फिल्टर; धोरण स्वीकारणे; ip daddr @y ड्रॉप } }
• सेट सूचीमध्ये स्थिरांक वापरण्याची परवानगी आहे. उदाहरणार्थ, गंतव्य पत्ता आणि VLAN ID सूची की म्हणून वापरताना, तुम्ही थेट VLAN क्रमांक निर्दिष्ट करू शकता (daddr. 123): टेबल netdev t { set s { typeof ether saddr . vlan id आकार 2048 ध्वज डायनॅमिक, कालबाह्य कालबाह्य 1m } साखळी c { प्रकार फिल्टर हुक प्रवेश साधन eth0 प्राधान्य 0; धोरण स्वीकारणे; इथर प्रकार != 8021q अद्यतन @s { इथर डॅडर . 123 } काउंटर } }
• ऑब्जेक्ट्स बिनशर्त हटवण्यासाठी नवीन "destroy" कमांड जोडली (डिलीट कमांडच्या विपरीत, गहाळ ऑब्जेक्ट हटवण्याचा प्रयत्न करताना ते ENOENT व्युत्पन्न करत नाही). काम करण्यासाठी किमान Linux कर्नल 6.3-rc आवश्यक आहे. टेबल आयपी फिल्टर नष्ट करा

स्त्रोत: opennet.ru