nftables प्याकेट फिल्टर 0.9.9 रिलीज

प्याकेट फिल्टर nftables 0.9.9 को रिलीज प्रकाशित गरिएको छ, IPv4, IPv6, ARP र नेटवर्क ब्रिजहरू (iptables, ip6table, arptables र ebtables लाई प्रतिस्थापन गर्ने उद्देश्यले) को लागि प्याकेट फिल्टरिंग इन्टरफेसहरू एकीकृत गर्दै। एकै समयमा, साथी पुस्तकालय libnftnl 1.2.0 को रिलीज प्रकाशित गरिएको थियो, nf_tables उपप्रणालीसँग अन्तरक्रियाको लागि निम्न-स्तर API प्रदान गर्दै। काम गर्न nftables 0.9.9 रिलीजको लागि आवश्यक परिवर्तनहरू लिनक्स कर्नेल 5.13-rc1 मा समावेश छन्।

nftables प्याकेजले प्रयोगकर्ता स्पेसमा चल्ने प्याकेट फिल्टर कम्पोनेन्टहरू समावेश गर्दछ, जबकि कर्नेल-स्तरको काम nf_tables उपप्रणालीद्वारा प्रदान गरिएको छ, जुन 3.13 रिलीजदेखि लिनक्स कर्नेलको अंश भएको छ। कर्नेल स्तरले केवल एक सामान्य प्रोटोकल-स्वतन्त्र इन्टरफेस प्रदान गर्दछ जसले प्याकेटहरूबाट डाटा निकाल्न, डाटा सञ्चालनहरू, र प्रवाह नियन्त्रण गर्न आधारभूत कार्यहरू प्रदान गर्दछ।

फिल्टरिङ नियमहरू आफैं र प्रोटोकल-विशिष्ट ह्यान्डलरहरू प्रयोगकर्ता-स्पेस बाइटकोडमा कम्पाइल हुन्छन्, त्यसपछि यो बाइटकोड नेटलिङ्क इन्टरफेस प्रयोग गरेर कर्नेलमा लोड गरिन्छ र BPF (बर्कले प्याकेट फिल्टरहरू) जस्तै विशेष भर्चुअल मेसिनमा कर्नेलमा कार्यान्वयन गरिन्छ। यो दृष्टिकोणले कर्नेल स्तरमा चलिरहेको फिल्टरिङ कोडको साइजलाई उल्लेखनीय रूपमा घटाउन र पार्सिङ नियमका सबै प्रकार्यहरू र प्रोटोकलहरूसँग प्रयोगकर्ता स्पेसमा काम गर्ने तर्कलाई सार्न सम्भव बनाउँछ।

मुख्य आविष्कारहरू:

• फ्लोटेबल प्रशोधनलाई नेटवर्क एडाप्टर साइडमा सार्न सक्ने क्षमता लागू गरिएको छ, 'अफलोड' फ्ल्याग प्रयोग गरेर सक्षम पारिएको छ। फ्लोटेबल प्याकेट रिडायरेक्शनको मार्गलाई अप्टिमाइज गर्ने एउटा संयन्त्र हो, जसमा सबै नियम प्रशोधन चेनहरूको पूर्ण पास पहिलो प्याकेटमा मात्र लागू गरिन्छ, र प्रवाहमा रहेका अन्य सबै प्याकेटहरू सिधै फर्वार्ड गरिन्छ। तालिका ip ग्लोबल { फ्लोटेबल f { हुक प्रवेश प्राथमिकता फिल्टर + 1 उपकरणहरू = { lan3, lan0, वान } फ्ल्याग अफलोड } चेन फर्वार्ड { टाइप फिल्टर हुक फर्वार्ड प्राथमिकता फिल्टर; नीति स्वीकार; ip प्रोटोकल { tcp, udp } प्रवाह @f } चेन पोस्ट {टाइप नेट हुक पोस्टराउटिंग प्राथमिकता फिल्टर; नीति स्वीकार; oifname "वान" मास्करेड } }
• एउटा प्रक्रियाद्वारा तालिकाको विशेष प्रयोग सुनिश्चित गर्नको लागि तालिकामा मालिक झण्डा संलग्न गर्नको लागि समर्थन थपियो। जब प्रक्रिया समाप्त हुन्छ, त्यससँग सम्बन्धित तालिका स्वतः मेटिन्छ। प्रक्रिया बारे जानकारी एक टिप्पणी को रूप मा नियम डम्प मा प्रदर्शित छ: तालिका ip x { # progname nft फ्ल्याग मालिक चेन y { प्रकार फिल्टर हुक इनपुट प्राथमिकता फिल्टर; नीति स्वीकार; काउन्टर प्याकेटहरू 1 बाइट्स 309 } }
• IEEE 802.1ad विशिष्टता (VLAN stacking वा QinQ) को लागि समर्थन थपियो, जसले एकल इथरनेट फ्रेममा धेरै VLAN ट्यागहरू प्रतिस्थापन गर्ने माध्यम परिभाषित गर्दछ। उदाहरणका लागि, बाह्य इथरनेट फ्रेम 8021ad र vlan id=342 को प्रकार जाँच गर्न, तपाईंले निर्माण प्रयोग गर्न सक्नुहुन्छ ... ईथर टाइप गर्नुहोस् 802.1ad vlan id 342 इथरनेट फ्रेम 8021ad/vlan id=1, नेस्टेड 802.1 को बाह्य प्रकार जाँच गर्न। q/vlan id=2 र थप आईपी प्याकेट इन्क्याप्सुलेशन: ... ईथर प्रकार 8021ad vlan आईडी 1 vlan प्रकार 8021q vlan आईडी 2 vlan प्रकार ip काउन्टर
• एकीकृत पदानुक्रम cgroups v2 प्रयोग गरी स्रोतहरू प्रबन्ध गर्न समर्थन थपियो। cgroups v2 र v1 बीचको मुख्य भिन्नता भनेको CPU स्रोतहरू आवंटित गर्न, मेमोरी खपत नियमन गर्न र I/O को लागि छुट्टै पदानुक्रमको सट्टा सबै प्रकारका स्रोतहरूको लागि साझा cgroups पदानुक्रमको प्रयोग हो। उदाहरणका लागि, पहिलो स्तर cgroupv2 मा सकेटको पूर्वज "system.slice" मास्कसँग मेल खान्छ कि छैन भनेर जाँच गर्न, तपाइँ निर्माण प्रयोग गर्न सक्नुहुन्छ: ... socket cgroupv2 स्तर 1 "system.slice"
• SCTP प्याकेटहरूको कम्पोनेन्टहरू जाँच गर्ने क्षमता थपियो (यसका लागि आवश्यक कार्यक्षमता लिनक्स 5.14 कर्नेलमा देखा पर्नेछ)। उदाहरणका लागि, प्याकेटमा 'डेटा' र फिल्ड 'टाइप' भएको टुक्रा छ कि छैन भनेर जाँच गर्न: ... sctp chunk data अवस्थित छ ... sctp chunk data type 0
• "-f" झण्डा प्रयोग गरेर लगभग दुई पटक नियम लोडिङ अपरेसनको कार्यान्वयन द्रुत गरिएको छ। नियमहरूको सूचीको आउटपुट पनि द्रुत गरिएको छ।
• फ्ल्याग बिटहरू सेट गरिएका छन् कि छैनन् भनी जाँच्नको लागि एउटा कम्प्याक्ट फारम प्रदान गरिएको छ। उदाहरणका लागि, snat र dnat स्थिति बिटहरू सेट गरिएको छैन भनेर जाँच गर्न, तपाइँ निर्दिष्ट गर्न सक्नुहुन्छ: ... ct स्थिति ! snat,dnat बिटमास्क syn,ack,ack:... tcp फ्ल्यागहरू syn/syn,ack मा फिन र rst बिटहरू बिटमास्क syn,ack,fin,rst मा सेट गरिएको छैन भनी जाँच्नको लागि जाँच गर्नुहोस्: ... tcp झण्डा! = फिन, rst / syn, ack, fin, rst
• सेट/नक्सा प्रकारको परिभाषामा "निर्णय" कुञ्जी शब्दलाई अनुमति दिनुहोस्: नक्सा xm { typeof iifname थप्नुहोस्। आईपी ​​प्रोटोकल dport: फैसला;}

स्रोत: opennet.ru