nftables ਪੈਕੇਟ ਫਿਲਟਰ 0.9.9 ਰੀਲੀਜ਼

ਪੈਕੇਟ ਫਿਲਟਰ nftables 0.9.9 ਦੀ ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਹੈ, IPv4, IPv6, ARP ਅਤੇ ਨੈੱਟਵਰਕ ਬ੍ਰਿਜਾਂ (iptables, ip6table, arptables ਅਤੇ ebtables ਨੂੰ ਬਦਲਣ ਦਾ ਉਦੇਸ਼) ਲਈ ਪੈਕੇਟ ਫਿਲਟਰਿੰਗ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਇਕਸਾਰ ਕਰਨਾ। ਉਸੇ ਸਮੇਂ, ਸਾਥੀ ਲਾਇਬ੍ਰੇਰੀ libnftnl 1.2.0 ਨੂੰ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਜੋ ਕਿ nf_tables ਸਬ-ਸਿਸਟਮ ਨਾਲ ਇੰਟਰੈਕਟ ਕਰਨ ਲਈ ਇੱਕ ਘੱਟ-ਪੱਧਰ ਦਾ API ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਕੰਮ ਕਰਨ ਲਈ nftables 0.9.9 ਰੀਲੀਜ਼ ਲਈ ਲੋੜੀਂਦੀਆਂ ਤਬਦੀਲੀਆਂ ਨੂੰ Linux ਕਰਨਲ 5.13-rc1 ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ।

nftables ਪੈਕੇਜ ਵਿੱਚ ਪੈਕੇਟ ਫਿਲਟਰ ਭਾਗ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜੋ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਚੱਲਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਕਰਨਲ ਪੱਧਰ nf_tables ਸਬ-ਸਿਸਟਮ ਦੁਆਰਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ 3.13 ਤੋਂ ਬਾਅਦ ਲੀਨਕਸ ਕਰਨਲ ਦਾ ਹਿੱਸਾ ਰਿਹਾ ਹੈ। ਕਰਨਲ ਪੱਧਰ 'ਤੇ, ਸਿਰਫ ਇੱਕ ਆਮ ਪ੍ਰੋਟੋਕੋਲ-ਸੁਤੰਤਰ ਇੰਟਰਫੇਸ ਪ੍ਰਦਾਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਪੈਕੇਟਾਂ ਤੋਂ ਡਾਟਾ ਕੱਢਣ, ਡੇਟਾ 'ਤੇ ਕਾਰਵਾਈਆਂ ਕਰਨ, ਅਤੇ ਪ੍ਰਵਾਹ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਲਈ ਬੁਨਿਆਦੀ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਫਿਲਟਰਿੰਗ ਨਿਯਮ ਖੁਦ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ-ਵਿਸ਼ੇਸ਼ ਹੈਂਡਲਰ ਉਪਭੋਗਤਾ-ਸਪੇਸ ਬਾਈਟਕੋਡ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਸ ਬਾਈਟਕੋਡ ਨੂੰ ਨੈੱਟਲਿੰਕ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਰਨਲ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ BPF (ਬਰਕਲੇ ਪੈਕੇਟ ਫਿਲਟਰ) ਵਰਗੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਵਿੱਚ ਕਰਨਲ ਵਿੱਚ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਚੱਲ ਰਹੇ ਫਿਲਟਰਿੰਗ ਕੋਡ ਦੇ ਆਕਾਰ ਨੂੰ ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ ਘਟਾਉਣਾ ਅਤੇ ਪਾਰਸਿੰਗ ਨਿਯਮਾਂ ਦੇ ਸਾਰੇ ਫੰਕਸ਼ਨਾਂ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਨਾਲ ਕੰਮ ਕਰਨ ਦੇ ਤਰਕ ਨੂੰ ਉਪਭੋਗਤਾ ਸਪੇਸ ਵਿੱਚ ਲਿਜਾਣਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ।

ਮੁੱਖ ਨਵੀਨਤਾਵਾਂ:

• ਫਲੋਟੇਬਲ ਪ੍ਰੋਸੈਸਿੰਗ ਨੂੰ ਨੈੱਟਵਰਕ ਅਡੈਪਟਰ ਸਾਈਡ 'ਤੇ ਲਿਜਾਣ ਦੀ ਸਮਰੱਥਾ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ, 'ਆਫਲੋਡ' ਫਲੈਗ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਮਰੱਥ ਕੀਤਾ ਗਿਆ ਹੈ। ਫਲੋਟੇਬਲ ਪੈਕੇਟ ਰੀਡਾਇਰੈਕਸ਼ਨ ਦੇ ਮਾਰਗ ਨੂੰ ਅਨੁਕੂਲ ਬਣਾਉਣ ਲਈ ਇੱਕ ਵਿਧੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਸਾਰੇ ਨਿਯਮ ਪ੍ਰੋਸੈਸਿੰਗ ਚੇਨਾਂ ਦਾ ਪੂਰਾ ਪਾਸ ਸਿਰਫ ਪਹਿਲੇ ਪੈਕੇਟ 'ਤੇ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਵਾਹ ਵਿੱਚ ਬਾਕੀ ਸਾਰੇ ਪੈਕੇਟ ਸਿੱਧੇ ਅੱਗੇ ਭੇਜੇ ਜਾਂਦੇ ਹਨ। ਟੇਬਲ ਆਈਪੀ ਗਲੋਬਲ { ਫਲੋਟੇਬਲ f { ਹੁੱਕ ਇੰਗ੍ਰੇਸ ਪ੍ਰਾਇਰਟੀ ਫਿਲਟਰ + 1 ਡਿਵਾਈਸਾਂ = { lan3, lan0, ਵਾਨ } ਫਲੈਗ ਆਫਲੋਡ } ਚੇਨ ਫਾਰਵਰਡ { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਫਾਰਵਰਡ ਪ੍ਰਾਇਰਿਟੀ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; ip ਪ੍ਰੋਟੋਕੋਲ { tcp, udp } ਫਲੋ ਐਡ @f } ਚੇਨ ਪੋਸਟ { ਟਾਈਪ ਨੈੱਟ ਹੁੱਕ ਪੋਸਟਰੂਟਿੰਗ ਤਰਜੀਹ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; oifname "ਵਾਨ" ਮਾਸਕਰੇਡ } }
• ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਦੁਆਰਾ ਟੇਬਲ ਦੀ ਵਿਸ਼ੇਸ਼ ਵਰਤੋਂ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਇੱਕ ਸਾਰਣੀ ਵਿੱਚ ਇੱਕ ਮਾਲਕ ਦੇ ਝੰਡੇ ਨੂੰ ਜੋੜਨ ਲਈ ਸਮਰਥਨ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ। ਜਦੋਂ ਕੋਈ ਪ੍ਰਕਿਰਿਆ ਖਤਮ ਹੋ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਇਸ ਨਾਲ ਜੁੜੀ ਸਾਰਣੀ ਆਪਣੇ ਆਪ ਮਿਟਾ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਪ੍ਰਕਿਰਿਆ ਬਾਰੇ ਜਾਣਕਾਰੀ ਇੱਕ ਟਿੱਪਣੀ ਦੇ ਰੂਪ ਵਿੱਚ ਨਿਯਮਾਂ ਦੇ ਡੰਪ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ: ਸਾਰਣੀ ip x { # progname nft ਫਲੈਗ ਮਾਲਕ ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; ਕਾਊਂਟਰ ਪੈਕੇਟ 1 ਬਾਈਟ 309 } }
• IEEE 802.1ad ਨਿਰਧਾਰਨ (VLAN ਸਟੈਕਿੰਗ ਜਾਂ QinQ) ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜੋ ਇੱਕ ਸਿੰਗਲ ਈਥਰਨੈੱਟ ਫਰੇਮ ਵਿੱਚ ਮਲਟੀਪਲ VLAN ਟੈਗਸ ਨੂੰ ਬਦਲਣ ਲਈ ਇੱਕ ਸਾਧਨ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਬਾਹਰੀ ਈਥਰਨੈੱਟ ਫਰੇਮ 8021ad ਅਤੇ vlan id=342 ਦੀ ਕਿਸਮ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ, ਤੁਸੀਂ ਉਸਾਰੀ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ ... ਈਥਰ ਟਾਈਪ 802.1ad vlan id 342 ਈਥਰਨੈੱਟ ਫਰੇਮ 8021ad/vlan id=1, ਨੇਸਟਡ 802.1 ਦੀ ਬਾਹਰੀ ਕਿਸਮ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ q/vlan id=2 ਅਤੇ ਅੱਗੇ IP ਪੈਕੇਟ ਇਨਕੈਪਸੂਲੇਸ਼ਨ: ... ਈਥਰ ਕਿਸਮ 8021ad vlan id 1 vlan ਕਿਸਮ 8021q vlan id 2 vlan ਕਿਸਮ ip ਕਾਊਂਟਰ
• ਯੂਨੀਫਾਈਡ ਲੜੀ cgroups v2 ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰੋਤਾਂ ਦੇ ਪ੍ਰਬੰਧਨ ਲਈ ਸਹਿਯੋਗ ਜੋੜਿਆ ਗਿਆ ਹੈ। cgroups v2 ਅਤੇ v1 ਵਿਚਕਾਰ ਮੁੱਖ ਅੰਤਰ CPU ਸਰੋਤਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ, ਮੈਮੋਰੀ ਖਪਤ ਨੂੰ ਨਿਯੰਤ੍ਰਿਤ ਕਰਨ ਲਈ, ਅਤੇ I/O ਲਈ ਵੱਖਰੀ ਲੜੀ ਦੀ ਬਜਾਏ, ਸਾਰੀਆਂ ਕਿਸਮਾਂ ਦੇ ਸਰੋਤਾਂ ਲਈ ਇੱਕ ਆਮ cgroups ਲੜੀ ਦੀ ਵਰਤੋਂ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਇਹ ਦੇਖਣ ਲਈ ਕਿ ਕੀ ਪਹਿਲੇ ਪੱਧਰ cgroupv2 'ਤੇ ਸਾਕਟ ਦਾ ਪੂਰਵਜ “system.slice” ਮਾਸਕ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਤੁਸੀਂ ਇਸ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ: ... ਸਾਕਟ cgroupv2 ਪੱਧਰ 1 “system.slice”
• SCTP ਪੈਕੇਟਾਂ ਦੇ ਭਾਗਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਯੋਗਤਾ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ (ਇਸ ਲਈ ਲੋੜੀਂਦੀ ਕਾਰਜਸ਼ੀਲਤਾ Linux 5.14 ਕਰਨਲ ਵਿੱਚ ਦਿਖਾਈ ਦੇਵੇਗੀ)। ਉਦਾਹਰਨ ਲਈ, ਇਹ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿ ਕੀ ਇੱਕ ਪੈਕੇਟ ਵਿੱਚ 'ਡਾਟਾ' ਅਤੇ ਫੀਲਡ 'ਟਾਈਪ' ਵਾਲਾ ਹਿੱਸਾ ਹੈ: ... sctp ਚੰਕ ਡੇਟਾ ਮੌਜੂਦ ਹੈ ... sctp ਚੰਕ ਡੇਟਾ ਟਾਈਪ 0
• ਨਿਯਮ ਲੋਡਿੰਗ ਓਪਰੇਸ਼ਨ ਦੇ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ "-f" ਫਲੈਗ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲਗਭਗ ਦੋ ਵਾਰ ਤੇਜ਼ ਕੀਤਾ ਗਿਆ ਹੈ। ਨਿਯਮਾਂ ਦੀ ਸੂਚੀ ਦੇ ਆਉਟਪੁੱਟ ਨੂੰ ਵੀ ਤੇਜ਼ ਕੀਤਾ ਗਿਆ ਹੈ.
• ਇਹ ਜਾਂਚਣ ਲਈ ਇੱਕ ਸੰਖੇਪ ਫਾਰਮ ਦਿੱਤਾ ਗਿਆ ਹੈ ਕਿ ਫਲੈਗ ਬਿੱਟ ਸੈੱਟ ਕੀਤੇ ਗਏ ਹਨ ਜਾਂ ਨਹੀਂ। ਉਦਾਹਰਨ ਲਈ, ਇਹ ਦੇਖਣ ਲਈ ਕਿ snat ਅਤੇ dnat ਸਥਿਤੀ ਬਿੱਟ ਸੈੱਟ ਨਹੀਂ ਹਨ, ਤੁਸੀਂ ਇਹ ਨਿਸ਼ਚਿਤ ਕਰ ਸਕਦੇ ਹੋ: ... ct ਸਥਿਤੀ ! snat,dnat ਇਹ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿ ਸਿੰਨ ਬਿਟ ਬਿੱਟਮਾਸਕ ਵਿੱਚ ਸੈੱਟ ਹੈ, ack: ... tcp ਫਲੈਗ ਸਿੰ/syn,ack ਇਹ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿ ਫਿਨ ਅਤੇ rst ਬਿੱਟ ਬਿੱਟਮਾਸਕ syn,ack,fin,rst ਵਿੱਚ ਸੈੱਟ ਨਹੀਂ ਹਨ: ... tcp ਫਲੈਗ! = fin,rst/syn,ack,fin,rst
• ਸੈੱਟ/ਨਕਸ਼ੇ ਦੀ ਕਿਸਮ ਦੀ ਪਰਿਭਾਸ਼ਾਵਾਂ ਵਿੱਚ "ਫੈਸਲਾ" ਕੀਵਰਡ ਦੀ ਆਗਿਆ ਦਿਓ: ਨਕਸ਼ਾ xm { typeof iifname ਸ਼ਾਮਲ ਕਰੋ। ਆਈਪੀ ਪ੍ਰੋਟੋਕੋਲ th dport : ਫੈਸਲਾ ;}

ਸਰੋਤ: opennet.ru