In Debian 11 wordt standaard gebruikgemaakt van nftables en firewalld.

Arturo Borrero, ontwikkelaar van Debian, maakt deel uit van het Coreteam van het Netfilter-project en beheert de Debian-pakketten die verband houden met nftables, iptables en netfilter. stelde voor vertaal de volgende belangrijke release van de Debian 11-distributie naar het standaard gebruik van nftables. In het geval van goedkeuring van het voorstel, zullen de iptables-pakketten worden geclassificeerd als optionele onderdelen, die niet in de basisversie zijn opgenomen.

Het pakketfilter Nftables valt op door de uniformiteit van de filteringinterfaces voor IPv4, IPv6, ARP en netwerkschakelaars. Nftables biedt op kernelniveau alleen een algemene interface, onafhankelijk van specifieke protocolen, en biedt basisfunctionaliteiten voor het extraheren van gegevens uit pakketten, het uitvoeren van bewerkingen met gegevens en het beheren van stroom. De filteringlogica en protocol-specifieke handlers worden gecompileerd naar bytecode in de gebruikersruimte, waarna deze bytecode via de Netlink-interface in de kernel wordt geladen en wordt uitgevoerd in een speciale virtuele machine die lijkt op BPF (Berkeley Packet Filters).

Standaard in Debian 11 wordt ook aangeraden om de dynamische firewall firewalld in te schakelen, gepresenteerd als een laag boven nftables. Firewalld draait als een achtergrondproces, waardoor de filteringregels dynamisch kunnen worden aangepast via DBus, zonder dat het nodig is om de filteringregels opnieuw te laden en zonder bestaande verbindingen te onderbreken. Voor het beheer van de firewall wordt de utility firewall-cmd gebruikt, die bij het maken van regels niet op netwerkinterfaces en poortnummers is gebaseerd, maar op de namen van diensten (bijvoorbeeld, om toegang tot SSH te openen, moet je 'firewall-cmd --add --service=ssh' uitvoeren, en om SSH te sluiten, 'firewall-cmd --remove --service=ssh'). IP-adressen, netwerkintefaces en poortnummers, en van de namen van diensten (bijvoorbeeld, om toegang tot SSH te openen, moet u «firewall-cmd —add —service=ssh» uitvoeren, om SSH te sluiten — «firewall-cmd —remove —service=ssh»).

Bron: opennet.ru