nftables प्याकेट फिल्टर 0.9.9 रिलीज

nftables ०.९.९ प्याकेट फिल्टर जारी गरिएको छ। यसले IPv4, IPv6, ARP, र नेटवर्क ब्रिजहरूको लागि प्याकेट फिल्टरिङ इन्टरफेसहरूलाई एकीकृत गर्दछ (iptables, ip6table, arptables, र ebtables को प्रतिस्थापनको रूपमा लक्षित)। nf_tables उपप्रणालीसँग अन्तर्क्रियाको लागि कम-स्तरको API प्रदान गर्ने libnftnl १.२.० लाइब्रेरी एकैसाथ जारी गरिएको छ। nftables ०.९.९ को लागि आवश्यक परिवर्तनहरू कर्नेलमा समावेश गरिएको छ। Linux ५.१६-आरसी१.

nftables प्याकेजमा प्याकेट फिल्टर कम्पोनेन्टहरू हुन्छन् जुन प्रयोगकर्ता ठाउँमा काम गर्छन्, जबकि कर्नेल-स्तरको काम nf_tables उपप्रणालीद्वारा प्रदान गरिन्छ, जुन कर्नेलको भाग हो। Linux रिलिज ३.१३ देखि, कर्नेल स्तरमा केवल एक सामान्य प्रोटोकल-स्वतन्त्र इन्टरफेस प्रदान गरिएको छ, जसले प्याकेटहरूबाट डेटा निकाल्न, डेटा सञ्चालन गर्न, र प्रवाह नियन्त्रण गर्न आधारभूत कार्यक्षमता प्रदान गर्दछ।

फिल्टरिङ नियमहरू आफैं र प्रोटोकल-विशिष्ट ह्यान्डलरहरू प्रयोगकर्ता स्पेसमा बाइटकोडमा कम्पाइल गरिन्छन्, त्यसपछि यो बाइटकोड नेटलिङ्क इन्टरफेस प्रयोग गरेर कर्नेलमा लोड गरिन्छ र विशेष रूपमा कर्नेलमा कार्यान्वयन गरिन्छ। भर्चुअल मेसिन, BPF (बर्कले प्याकेट फिल्टर) को सम्झना दिलाउने। यो दृष्टिकोणले कर्नेल स्तरमा चलिरहेको फिल्टरिङ कोडको आकारमा उल्लेखनीय कमी ल्याउन अनुमति दिन्छ र सबै नियम पार्सिङ र प्रोटोकल तर्कलाई प्रयोगकर्ता ठाउँमा सार्छ।

मुख्य आविष्कारहरू:

• फ्लोटेबल प्रशोधनलाई नेटवर्क एडाप्टर साइडमा सार्न सक्ने क्षमता लागू गरिएको छ, 'अफलोड' फ्ल्याग प्रयोग गरेर सक्षम पारिएको छ। फ्लोटेबल प्याकेट रिडायरेक्शनको मार्गलाई अप्टिमाइज गर्ने एउटा संयन्त्र हो, जसमा सबै नियम प्रशोधन चेनहरूको पूर्ण पास पहिलो प्याकेटमा मात्र लागू गरिन्छ, र प्रवाहमा रहेका अन्य सबै प्याकेटहरू सिधै फर्वार्ड गरिन्छ। तालिका ip ग्लोबल { फ्लोटेबल f { हुक प्रवेश प्राथमिकता फिल्टर + 1 उपकरणहरू = { lan3, lan0, वान } फ्ल्याग अफलोड } चेन फर्वार्ड { टाइप फिल्टर हुक फर्वार्ड प्राथमिकता फिल्टर; नीति स्वीकार; ip प्रोटोकल { tcp, udp } प्रवाह @f } चेन पोस्ट {टाइप नेट हुक पोस्टराउटिंग प्राथमिकता फिल्टर; नीति स्वीकार; oifname "वान" मास्करेड } }
• एउटा प्रक्रियाद्वारा तालिकाको विशेष प्रयोग सुनिश्चित गर्नको लागि तालिकामा मालिक झण्डा संलग्न गर्नको लागि समर्थन थपियो। जब प्रक्रिया समाप्त हुन्छ, त्यससँग सम्बन्धित तालिका स्वतः मेटिन्छ। प्रक्रिया बारे जानकारी एक टिप्पणी को रूप मा नियम डम्प मा प्रदर्शित छ: तालिका ip x { # progname nft फ्ल्याग मालिक चेन y { प्रकार फिल्टर हुक इनपुट प्राथमिकता फिल्टर; नीति स्वीकार; काउन्टर प्याकेटहरू 1 बाइट्स 309 } }
• IEEE 802.1ad विशिष्टता (VLAN stacking वा QinQ) को लागि समर्थन थपियो, जसले एकल इथरनेट फ्रेममा धेरै VLAN ट्यागहरू प्रतिस्थापन गर्ने माध्यम परिभाषित गर्दछ। उदाहरणका लागि, बाह्य इथरनेट फ्रेम 8021ad र vlan id=342 को प्रकार जाँच गर्न, तपाईंले निर्माण प्रयोग गर्न सक्नुहुन्छ ... ईथर टाइप गर्नुहोस् 802.1ad vlan id 342 इथरनेट फ्रेम 8021ad/vlan id=1, नेस्टेड 802.1 को बाह्य प्रकार जाँच गर्न। q/vlan id=2 र थप आईपी प्याकेट इन्क्याप्सुलेशन: ... ईथर प्रकार 8021ad vlan आईडी 1 vlan प्रकार 8021q vlan आईडी 2 vlan प्रकार ip काउन्टर
• एकीकृत पदानुक्रम cgroups v2 प्रयोग गरी स्रोतहरू प्रबन्ध गर्न समर्थन थपियो। cgroups v2 र v1 बीचको मुख्य भिन्नता भनेको CPU स्रोतहरू आवंटित गर्न, मेमोरी खपत नियमन गर्न र I/O को लागि छुट्टै पदानुक्रमको सट्टा सबै प्रकारका स्रोतहरूको लागि साझा cgroups पदानुक्रमको प्रयोग हो। उदाहरणका लागि, पहिलो स्तर cgroupv2 मा सकेटको पूर्वज "system.slice" मास्कसँग मेल खान्छ कि छैन भनेर जाँच गर्न, तपाइँ निर्माण प्रयोग गर्न सक्नुहुन्छ: ... socket cgroupv2 स्तर 1 "system.slice"
• Добавлена возможность проверки составных частей пакетов SCTP (необходимая для работы функциональность появится в ядре Linux 5.14). Например, для проверки наличия в пакете chunk-а с типом ‘data’ и полем ‘type’: … sctp chunk data exists … sctp chunk data type 0
• "-f" झण्डा प्रयोग गरेर लगभग दुई पटक नियम लोडिङ अपरेसनको कार्यान्वयन द्रुत गरिएको छ। नियमहरूको सूचीको आउटपुट पनि द्रुत गरिएको छ।
• फ्ल्याग बिटहरू सेट गरिएका छन् कि छैनन् भनी जाँच्नको लागि एउटा कम्प्याक्ट फारम प्रदान गरिएको छ। उदाहरणका लागि, snat र dnat स्थिति बिटहरू सेट गरिएको छैन भनेर जाँच गर्न, तपाइँ निर्दिष्ट गर्न सक्नुहुन्छ: ... ct स्थिति ! snat,dnat बिटमास्क syn,ack,ack:... tcp फ्ल्यागहरू syn/syn,ack मा फिन र rst बिटहरू बिटमास्क syn,ack,fin,rst मा सेट गरिएको छैन भनी जाँच्नको लागि जाँच गर्नुहोस्: ... tcp झण्डा! = फिन, rst / syn, ack, fin, rst
• सेट/नक्सा प्रकारको परिभाषामा "निर्णय" कुञ्जी शब्दलाई अनुमति दिनुहोस्: नक्सा xm { typeof iifname थप्नुहोस्। आईपी ​​प्रोटोकल dport: फैसला;}

स्रोत: opennet.ru