nftables प्याकेट फिल्टर 0.9.3 रिलीज

प्रकाशित प्याकेट फिल्टर रिलीज nftables 0.9.3, IPv6, IPv4, ARP र नेटवर्क ब्रिजहरूको लागि प्याकेट फिल्टरिङ इन्टरफेसहरू एकीकृत गरेर iptables, ip6table, arptables र ebtables को प्रतिस्थापनको रूपमा विकास गर्दै। nftables प्याकेजले प्रयोगकर्ता स्पेसमा चल्ने प्याकेट फिल्टर कम्पोनेन्टहरू समावेश गर्दछ, जबकि कर्नेल-स्तरको काम nf_tables उपप्रणालीद्वारा प्रदान गरिएको छ, जुन 3.13 रिलीजदेखि लिनक्स कर्नेलको अंश भएको छ। काम गर्नको लागि nftables 0.9.3 रिलीजको लागि आवश्यक परिवर्तनहरू आगामी Linux 5.5 कर्नेल शाखामा समावेश छन्।

कर्नेल स्तरले केवल एक सामान्य प्रोटोकल-स्वतन्त्र इन्टरफेस प्रदान गर्दछ जसले प्याकेटहरूबाट डाटा निकाल्न, डाटा सञ्चालनहरू, र प्रवाह नियन्त्रण गर्न आधारभूत कार्यहरू प्रदान गर्दछ। फिल्टरिङ तर्क आफै र प्रोटोकल-विशिष्ट ह्यान्डलरहरू प्रयोगकर्ता स्पेसमा बाइटकोडमा कम्पाइल हुन्छन्, त्यसपछि यो बाइटकोड नेटलिङ्क इन्टरफेस प्रयोग गरेर कर्नेलमा लोड हुन्छ र BPF (बर्कले प्याकेट फिल्टरहरू) को सम्झना गराउने विशेष भर्चुअल मेसिनमा कार्यान्वयन गरिन्छ। यो दृष्टिकोणले तपाईंलाई कर्नेल स्तरमा चलिरहेको फिल्टरिङ कोडको साइज घटाउन र प्रोटोकलहरूसँग प्रयोगकर्ता स्पेसमा काम गर्नका लागि पार्सिङ नियम र तर्कका सबै कार्यहरू सार्न अनुमति दिन्छ।

मुख्य आविष्कारहरू:

• समय अनुसार मिल्दो प्याकेटहरूको लागि समर्थन। तपाईले समय र मिति दायरा दुबै परिभाषित गर्न सक्नुहुन्छ जसमा नियम ट्रिगर हुनेछ, र हप्ताको व्यक्तिगत दिनहरूमा ट्रिगर कन्फिगर गर्नुहोस्। साथै नयाँ विकल्प "-T" सेकेन्डमा epochal समय प्रदर्शन गर्न थपियो।

  मेटा समय \"2019-12-24 16:00\" — \"2020-01-02 7:00\"
  मेटा घण्टा \"17:00\" - \"19:00\"
  मेटा डे \"शुक्र\"

• SELinux मार्कहरू (सेकमार्क) रिकभर गर्न र बचत गर्नको लागि समर्थन।

  सीटी सेकमार्क सेट मेटा सेकमार्क
  मेटा सेकमार्क सेट सीटी सेकमार्क

• सिन्प्रोक्सी नक्सा सूचीहरूको लागि समर्थन, तपाईंलाई प्रति ब्याकइन्ड एक भन्दा बढी नियम परिभाषित गर्न अनुमति दिँदै।

  तालिका ip foo {
  synproxy https-synproxy {
  mss २
  wscale 7
  टाइमस्ट्याम्प sack-perm
  }

  synproxy other-synproxy {
  mss २
  wscale 5
  }

  चेन पूर्व {
  प्रकार फिल्टर हुक prerouting प्राथमिकता कच्चा; नीति स्वीकार;
  tcp dport 8888 tcp झण्डा syn notrack
  }

  चेन बार {
  टाइप फिल्टर हुक अगाडि प्राथमिकता फिल्टर; नीति स्वीकार;
  ct स्थिति अमान्य, अनट्र्याक गरिएको सिन्प्रोक्सी नाम ip saddr नक्शा { 192.168.1.0/24 : "https-synproxy", 192.168.2.0/24 : "अन्य-सिन्प्रोक्सी" }
  }
  }

• प्याकेट प्रशोधन नियमहरूबाट सेट तत्वहरूलाई गतिशील रूपमा हटाउने क्षमता।

  nft नियम थप्नुहोस् ... @set5 { ip6 saddr मेटाउनुहोस्। ip6 daddr}

• नेटवर्क ब्रिज इन्टरफेस मेटाडेटामा परिभाषित ID र प्रोटोकल द्वारा VLAN म्यापिङको लागि समर्थन;

  meta ibrpvid 100
  मेटा ibrvproto vlan

• विकल्प "-t" ("--terse") नियमहरू प्रदर्शन गर्दा सेट सेटका तत्वहरू बहिष्कार गर्न। "nft -t list ruleset" चलाउँदा आउटपुट हुनेछ:

  तालिका ip x {
  सेट y {
  ipv4_addr टाइप गर्नुहोस्
  }
  }

  र "nft सूची नियमहरू" संग

  तालिका ip x {
  सेट y {
  ipv4_addr टाइप गर्नुहोस्
  तत्व = {192.168.10.2, 192.168.20.1,
  १९२.१६८.४.४, १९२.१६८.२.३४ }
  }
  }

• सामान्य फिल्टरिङ नियमहरू संयोजन गर्न netdev चेनहरूमा एक भन्दा बढी यन्त्रहरू निर्दिष्ट गर्ने क्षमता (कर्नेल 5.5 सँग मात्र काम गर्दछ)।

  तालिका netdev x थप्नुहोस्
  चेन थप्नुहोस् netdev xy { \
  प्रकार फिल्टर हुक प्रवेश यन्त्रहरू = {eth0, eth1 } प्राथमिकता 0;
  }

• डाटा प्रकार को विवरण थप्न क्षमता।

  # nft वर्णन ipv4_addr
  डाटाटाइप ipv4_addr (IPv4 ठेगाना) (बेसटाइप पूर्णांक), ३२ बिट

• libreadline को सट्टा linenoise पुस्तकालय संग CLI इन्टरफेस निर्माण गर्ने क्षमता।

  ./configure --with-cli=linenoise

स्रोत: opennet.ru