nftables प्याकेट फिल्टर 1.0.6 रिलीज

nftables 1.0.6 प्याकेट फिल्टर रिलीज प्रकाशित गरिएको छ, IPv4, IPv6, ARP र नेटवर्क ब्रिजहरू (iptables, ip6table, arptables र ebtables लाई प्रतिस्थापन गर्ने उद्देश्यले) को लागि प्याकेट फिल्टरिङ इन्टरफेसहरू एकीकृत गर्दै। nftables प्याकेजले प्रयोगकर्ता स्पेसमा चल्ने प्याकेट फिल्टर कम्पोनेन्टहरू समावेश गर्दछ, जबकि कर्नेल स्तर nf_tables उपप्रणालीद्वारा प्रदान गरिएको छ, जुन रिलीज 3.13 देखि लिनक्स कर्नेलको भाग भएको छ। कर्नेल स्तरमा, केवल एक सामान्य प्रोटोकल-स्वतन्त्र इन्टरफेस प्रदान गरिएको छ जसले प्याकेटहरूबाट डाटा निकाल्न, डाटामा अपरेशनहरू प्रदर्शन गर्न, र प्रवाह नियन्त्रण गर्न आधारभूत कार्यहरू प्रदान गर्दछ।

फिल्टरिङ नियमहरू आफैं र प्रोटोकल-विशिष्ट ह्यान्डलरहरू प्रयोगकर्ता-स्पेस बाइटकोडमा कम्पाइल हुन्छन्, त्यसपछि यो बाइटकोड नेटलिङ्क इन्टरफेस प्रयोग गरेर कर्नेलमा लोड गरिन्छ र BPF (बर्कले प्याकेट फिल्टरहरू) जस्तै विशेष भर्चुअल मेसिनमा कर्नेलमा कार्यान्वयन गरिन्छ। यो दृष्टिकोणले कर्नेल स्तरमा चलिरहेको फिल्टरिङ कोडको साइजलाई उल्लेखनीय रूपमा घटाउन र पार्सिङ नियमका सबै प्रकार्यहरू र प्रोटोकलहरूसँग प्रयोगकर्ता स्पेसमा काम गर्ने तर्कलाई सार्न सम्भव बनाउँछ।

मुख्य परिवर्तनहरू:

• नियम अनुकूलक, "-o/-अप्टिमाइज" विकल्प निर्दिष्ट गर्दा भनिन्छ, नियमहरूको स्वचालित प्याकेजिङ हुन्छ तिनीहरूलाई संयोजन गरेर र तिनीहरूलाई नक्सा र सेट सूचीहरूमा रूपान्तरण गरेर। उदाहरणका लागि, नियमहरू # cat ruleset.nft तालिका ip x { चेन y { प्रकार फिल्टर हुक इनपुट प्राथमिकता फिल्टर; नीति गिरावट; मेटा iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 स्वीकार गर्नुहोस् meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.4 स्वीकार गर्नुहोस् meta iifname eth1 ip saddr 1.1.1.2 ip2.2.3.0 ip24. १.१ .1 ip daddr 1.1.1.2-2.2.4.0 स्वीकार गर्नुहोस् meta iifname eth2.2.4.10 ip saddr 2 ip daddr 1.1.1.3 स्वीकार गर्नुहोस् } } कार्यान्वयन गरेपछि "nft -o -c -f ruleset.nft" लाई निम्नानुसार रूपान्तरण गरिनेछ: नियमहरू nft:2.2.2.5:4-17: meta iifname eth74 ip saddr 1 ip daddr 1.1.1.1 accept ruleset.nft:2.2.2.3:5-17: meta iifname eth74 ip saddr 1 ip daddr 1.1.1.2 नियमहरू स्वीकार गर्नुहोस्। : 2.2.2.4:6-17: meta iifname eth77 ip saddr 1 ip daddr 1.1.1.2/2.2.3.0 accept ruleset.nft:24:7-17: meta iifname eth83 ip saddr 1 ip daddr 1.1.1.2 Ruleset.nft:2.2.4.0:2.2.4.10-8: meta iifname eth17 ip saddr 74 ip daddr 2 मा स्वीकार गर्नुहोस्: iifname। ip saddr। ip daddr {eth1.1.1.3. १.१.१.१। 2.2.2.5, eth1। १.१.१.२। 1.1.1.1, eth2.2.2.3। १.१.१.२। 1/1.1.1.2, eth2.2.2.4। १.१.१.२। 1-1.1.1.2, eth2.2.3.0। १.१.१.३। २.२.२.५} स्वीकार गर्नुहोस्
• अनुकूलकले पहिले नै सरल सेट सूचीहरू प्रयोग गर्ने नियमहरूलाई थप कम्प्याक्ट फारममा रूपान्तरण गर्न सक्छ, उदाहरणका लागि नियमहरू: # cat ruleset.nft तालिका ip फिल्टर { चेन इनपुट { प्रकार फिल्टर हुक इनपुट प्राथमिकता फिल्टर; नीति गिरावट; iifname "lo" स्वीकार गर्नुहोस् ct राज्य स्थापित, सम्बन्धित टिप्पणी स्वीकार गर्नुहोस् "ट्राफिकमा हामी उत्पत्ति गर्छौं, हामी विश्वास गर्छौं" iifname "enp0s31f6" ip saddr { 209.115.181.102, 216.197.228.230 } ip daddr 10.0.0.149 पोर्ट 123d 32768 स्वीकार गर्नुहोस् iifname "enp65535s0f31" ip saddr { 6, 64.59.144.17 } ip daddr 64.59.150.133 udp sport 10.0.0.149 udp dport 53-32768 लाई पहिले नै प्याकेजको रूपमा काटिनेछ - }ft-ft-cn }-प्याकेजको रूपमा काटिनेछ। पछ्याउँछ : Ruleset.nft:65535:6-22: iifname "enp149s0f31" ip saddr { 6, 209.115.181.102 } ip daddr 216.197.228.230 udp खेलकुद नियमहरू 10.0.0.149 d123 udp लाई स्वीकार गर्नुहोस्। :२२-१४३: iifname "enp32768s65535f7" ip saddr { 22, 143 } ip daddr 0 udp खेल 31 udp dport 6-64.59.144.17 मा स्वीकार गर्नुहोस्: iif नाम। ip saddr। ip daddr। udp खेल। udp dport { enp64.59.150.133s10.0.0.149f53 . २०९.११५.१८१.१०२। १०.०.०.१४९। १२३। ३२७६८-६५५३५, enp32768s65535f0। २१६.१९७.२२८.२३०। १०.०.०.१४९। १२३। ३२७६८-६५५३५, enp31s6f209.115.181.102। ६४.५९.१४४.१७। १०.०.०.१४९। ५३। ३२७६८-६५५३५, enp10.0.0.149s123f32768। ६४.५९.१५०.१३३। १०.०.०.१४९। ५३। 65535-0 } स्वीकार गर्नुहोस्
• IPv4 (नेटवर्क बाइट अर्डर) र मेटा मार्क (प्रणाली बाइट अर्डर) जस्ता बिभिन्न बाइट अर्डरका साथ प्रकारहरू प्रयोग गर्ने अन्तरालहरू मर्ज गर्नको लागि बाइटकोड जेनरेशनको समस्या समाधान गरियो। तालिका ip x { नक्सा w { ip saddr को प्रकार। मेटा चिन्ह : निर्णय झण्डा अन्तराल काउन्टर तत्वहरू = {127.0.0.1-127.0.0.4। 0x123434-0xb00122 : स्वीकार गर्नुहोस्, 192.168.0.10-192.168.1.20। 0x0000aa00-0x0000aaff : स्वीकार गर्नुहोस्, } } चेन k { प्रकार फिल्टर हुक इनपुट प्राथमिकता फिल्टर; नीति गिरावट; ip saddr। मेटा मार्क vmap @w } }
• कच्चा अभिव्यक्तिहरू प्रयोग गर्दा दुर्लभ प्रोटोकलहरूको सुधारिएको तुलना, उदाहरणका लागि: meta l4proto 91 @th,400,16 0x0 स्वीकार
• अन्तरालहरूमा नियमहरू सक्षम गर्ने समस्याहरू समाधान गरिएको छ: insert नियम xy tcp खेल { 3478-3497, 16384-16387 } काउन्टर स्वीकार
• JSON API लाई सेट र नक्सा सूचीहरूमा अभिव्यक्तिहरूको लागि समर्थन समावेश गर्न सुधार गरिएको छ।
• nftables python लाइब्रेरीमा विस्तारहरूले प्रमाणीकरण मोड ("-c") मा प्रशोधनका लागि नियम सेटहरू लोड गर्न र चरहरूको बाह्य परिभाषाको लागि समर्थन थप्न अनुमति दिन्छ।
• सेट सूची तत्वहरूमा टिप्पणीहरू थप्न अनुमति दिइएको छ।
• बाइट दर सीमाले शून्य मान निर्दिष्ट गर्न अनुमति दिन्छ।

स्रोत: opennet.ru