nftables ਪੈਕੇਟ ਫਿਲਟਰ 0.9.9 ਰੀਲੀਜ਼

nftables 0.9.9 ਪੈਕੇਟ ਫਿਲਟਰ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਹ IPv4, IPv6, ARP, ਅਤੇ ਨੈੱਟਵਰਕ ਬ੍ਰਿਜਾਂ (iptables, ip6table, arptables, ਅਤੇ ebtables ਦੇ ਬਦਲ ਵਜੋਂ ਨਿਸ਼ਾਨਾ ਬਣਾਇਆ ਗਿਆ) ਲਈ ਪੈਕੇਟ ਫਿਲਟਰਿੰਗ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਏਕੀਕ੍ਰਿਤ ਕਰਦਾ ਹੈ। ਨਾਲ ਵਾਲੀ libnftnl 1.2.0 ਲਾਇਬ੍ਰੇਰੀ, ਜੋ nf_tables ਸਬਸਿਸਟਮ ਨਾਲ ਇੰਟਰੈਕਟ ਕਰਨ ਲਈ ਇੱਕ ਘੱਟ-ਪੱਧਰੀ API ਪ੍ਰਦਾਨ ਕਰਦੀ ਹੈ, ਨੂੰ ਇੱਕੋ ਸਮੇਂ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਹੈ। nftables 0.9.9 ਲਈ ਲੋੜੀਂਦੇ ਬਦਲਾਅ ਕਰਨਲ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ। Linux 5.13-ਆਰਸੀ1.

nftables ਪੈਕੇਜ ਵਿੱਚ ਪੈਕੇਟ ਫਿਲਟਰ ਹਿੱਸੇ ਹੁੰਦੇ ਹਨ ਜੋ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਕੰਮ ਕਰਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਕਰਨਲ-ਪੱਧਰ ਦਾ ਕੰਮ nf_tables ਸਬ-ਸਿਸਟਮ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ ਕਰਨਲ ਦਾ ਹਿੱਸਾ ਹੈ। Linux ਰੀਲੀਜ਼ 3.13 ਤੋਂ ਬਾਅਦ, ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਸਿਰਫ਼ ਇੱਕ ਆਮ ਪ੍ਰੋਟੋਕੋਲ-ਸੁਤੰਤਰ ਇੰਟਰਫੇਸ ਪ੍ਰਦਾਨ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਪੈਕੇਟਾਂ ਤੋਂ ਡੇਟਾ ਕੱਢਣ, ਡੇਟਾ ਓਪਰੇਸ਼ਨ ਕਰਨ ਅਤੇ ਪ੍ਰਵਾਹ ਨਿਯੰਤਰਣ ਲਈ ਬੁਨਿਆਦੀ ਕਾਰਜਸ਼ੀਲਤਾ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਫਿਲਟਰਿੰਗ ਨਿਯਮ ਆਪਣੇ ਆਪ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ-ਵਿਸ਼ੇਸ਼ ਹੈਂਡਲਰਾਂ ਨੂੰ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਬਾਈਟਕੋਡ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਸ ਬਾਈਟਕੋਡ ਨੂੰ ਨੈੱਟਲਿੰਕ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਰਨਲ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਕਰਨਲ ਵਿੱਚ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਰੂਪ ਵਿੱਚ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਵਰਚੁਅਲ ਮਸ਼ੀਨ, BPF (ਬਰਕਲੇ ਪੈਕੇਟ ਫਿਲਟਰ) ਦੀ ਯਾਦ ਦਿਵਾਉਂਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਚੱਲ ਰਹੇ ਫਿਲਟਰਿੰਗ ਕੋਡ ਦੇ ਆਕਾਰ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਕਮੀ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਅਤੇ ਸਾਰੇ ਨਿਯਮ ਪਾਰਸਿੰਗ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਲਾਜਿਕ ਨੂੰ ਉਪਭੋਗਤਾ ਸਪੇਸ ਵਿੱਚ ਭੇਜਦੀ ਹੈ।

ਮੁੱਖ ਨਵੀਨਤਾਵਾਂ:

• ਫਲੋਟੇਬਲ ਪ੍ਰੋਸੈਸਿੰਗ ਨੂੰ ਨੈੱਟਵਰਕ ਅਡੈਪਟਰ ਸਾਈਡ 'ਤੇ ਲਿਜਾਣ ਦੀ ਸਮਰੱਥਾ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ, 'ਆਫਲੋਡ' ਫਲੈਗ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਮਰੱਥ ਕੀਤਾ ਗਿਆ ਹੈ। ਫਲੋਟੇਬਲ ਪੈਕੇਟ ਰੀਡਾਇਰੈਕਸ਼ਨ ਦੇ ਮਾਰਗ ਨੂੰ ਅਨੁਕੂਲ ਬਣਾਉਣ ਲਈ ਇੱਕ ਵਿਧੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਸਾਰੇ ਨਿਯਮ ਪ੍ਰੋਸੈਸਿੰਗ ਚੇਨਾਂ ਦਾ ਪੂਰਾ ਪਾਸ ਸਿਰਫ ਪਹਿਲੇ ਪੈਕੇਟ 'ਤੇ ਲਾਗੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਵਾਹ ਵਿੱਚ ਬਾਕੀ ਸਾਰੇ ਪੈਕੇਟ ਸਿੱਧੇ ਅੱਗੇ ਭੇਜੇ ਜਾਂਦੇ ਹਨ। ਟੇਬਲ ਆਈਪੀ ਗਲੋਬਲ { ਫਲੋਟੇਬਲ f { ਹੁੱਕ ਇੰਗ੍ਰੇਸ ਪ੍ਰਾਇਰਟੀ ਫਿਲਟਰ + 1 ਡਿਵਾਈਸਾਂ = { lan3, lan0, ਵਾਨ } ਫਲੈਗ ਆਫਲੋਡ } ਚੇਨ ਫਾਰਵਰਡ { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਫਾਰਵਰਡ ਪ੍ਰਾਇਰਿਟੀ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; ip ਪ੍ਰੋਟੋਕੋਲ { tcp, udp } ਫਲੋ ਐਡ @f } ਚੇਨ ਪੋਸਟ { ਟਾਈਪ ਨੈੱਟ ਹੁੱਕ ਪੋਸਟਰੂਟਿੰਗ ਤਰਜੀਹ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; oifname "ਵਾਨ" ਮਾਸਕਰੇਡ } }
• ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਦੁਆਰਾ ਟੇਬਲ ਦੀ ਵਿਸ਼ੇਸ਼ ਵਰਤੋਂ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਇੱਕ ਸਾਰਣੀ ਵਿੱਚ ਇੱਕ ਮਾਲਕ ਦੇ ਝੰਡੇ ਨੂੰ ਜੋੜਨ ਲਈ ਸਮਰਥਨ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ। ਜਦੋਂ ਕੋਈ ਪ੍ਰਕਿਰਿਆ ਖਤਮ ਹੋ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਇਸ ਨਾਲ ਜੁੜੀ ਸਾਰਣੀ ਆਪਣੇ ਆਪ ਮਿਟਾ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ। ਪ੍ਰਕਿਰਿਆ ਬਾਰੇ ਜਾਣਕਾਰੀ ਇੱਕ ਟਿੱਪਣੀ ਦੇ ਰੂਪ ਵਿੱਚ ਨਿਯਮਾਂ ਦੇ ਡੰਪ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ: ਸਾਰਣੀ ip x { # progname nft ਫਲੈਗ ਮਾਲਕ ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; ਕਾਊਂਟਰ ਪੈਕੇਟ 1 ਬਾਈਟ 309 } }
• IEEE 802.1ad ਨਿਰਧਾਰਨ (VLAN ਸਟੈਕਿੰਗ ਜਾਂ QinQ) ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜੋ ਇੱਕ ਸਿੰਗਲ ਈਥਰਨੈੱਟ ਫਰੇਮ ਵਿੱਚ ਮਲਟੀਪਲ VLAN ਟੈਗਸ ਨੂੰ ਬਦਲਣ ਲਈ ਇੱਕ ਸਾਧਨ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਬਾਹਰੀ ਈਥਰਨੈੱਟ ਫਰੇਮ 8021ad ਅਤੇ vlan id=342 ਦੀ ਕਿਸਮ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ, ਤੁਸੀਂ ਉਸਾਰੀ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ ... ਈਥਰ ਟਾਈਪ 802.1ad vlan id 342 ਈਥਰਨੈੱਟ ਫਰੇਮ 8021ad/vlan id=1, ਨੇਸਟਡ 802.1 ਦੀ ਬਾਹਰੀ ਕਿਸਮ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ q/vlan id=2 ਅਤੇ ਅੱਗੇ IP ਪੈਕੇਟ ਇਨਕੈਪਸੂਲੇਸ਼ਨ: ... ਈਥਰ ਕਿਸਮ 8021ad vlan id 1 vlan ਕਿਸਮ 8021q vlan id 2 vlan ਕਿਸਮ ip ਕਾਊਂਟਰ
• ਯੂਨੀਫਾਈਡ ਲੜੀ cgroups v2 ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰੋਤਾਂ ਦੇ ਪ੍ਰਬੰਧਨ ਲਈ ਸਹਿਯੋਗ ਜੋੜਿਆ ਗਿਆ ਹੈ। cgroups v2 ਅਤੇ v1 ਵਿਚਕਾਰ ਮੁੱਖ ਅੰਤਰ CPU ਸਰੋਤਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ, ਮੈਮੋਰੀ ਖਪਤ ਨੂੰ ਨਿਯੰਤ੍ਰਿਤ ਕਰਨ ਲਈ, ਅਤੇ I/O ਲਈ ਵੱਖਰੀ ਲੜੀ ਦੀ ਬਜਾਏ, ਸਾਰੀਆਂ ਕਿਸਮਾਂ ਦੇ ਸਰੋਤਾਂ ਲਈ ਇੱਕ ਆਮ cgroups ਲੜੀ ਦੀ ਵਰਤੋਂ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਇਹ ਦੇਖਣ ਲਈ ਕਿ ਕੀ ਪਹਿਲੇ ਪੱਧਰ cgroupv2 'ਤੇ ਸਾਕਟ ਦਾ ਪੂਰਵਜ “system.slice” ਮਾਸਕ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਤੁਸੀਂ ਇਸ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ: ... ਸਾਕਟ cgroupv2 ਪੱਧਰ 1 “system.slice”
• SCTP ਪੈਕੇਟਾਂ ਦੇ ਭਾਗਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਯੋਗਤਾ ਜੋੜੀ ਗਈ ਹੈ (ਕਾਰਜਸ਼ੀਲਤਾ ਲਈ ਲੋੜੀਂਦੀ ਕਾਰਜਸ਼ੀਲਤਾ ਕਰਨਲ ਵਿੱਚ ਦਿਖਾਈ ਦੇਵੇਗੀ) Linux 5.14). ਉਦਾਹਰਣ ਵਜੋਂ, ਇਹ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿ ਕੀ ਇੱਕ ਪੈਕੇਟ ਵਿੱਚ 'ਡੇਟਾ' ਕਿਸਮ ਅਤੇ 'ਟਾਈਪ' ਖੇਤਰ ਵਾਲਾ ਇੱਕ ਹਿੱਸਾ ਹੈ: ... sctp ਚੰਕ ਡੇਟਾ ਮੌਜੂਦ ਹੈ ... sctp ਚੰਕ ਡੇਟਾ ਕਿਸਮ 0
• ਨਿਯਮ ਲੋਡਿੰਗ ਓਪਰੇਸ਼ਨ ਦੇ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ "-f" ਫਲੈਗ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲਗਭਗ ਦੋ ਵਾਰ ਤੇਜ਼ ਕੀਤਾ ਗਿਆ ਹੈ। ਨਿਯਮਾਂ ਦੀ ਸੂਚੀ ਦੇ ਆਉਟਪੁੱਟ ਨੂੰ ਵੀ ਤੇਜ਼ ਕੀਤਾ ਗਿਆ ਹੈ.
• ਇਹ ਜਾਂਚਣ ਲਈ ਇੱਕ ਸੰਖੇਪ ਫਾਰਮ ਦਿੱਤਾ ਗਿਆ ਹੈ ਕਿ ਫਲੈਗ ਬਿੱਟ ਸੈੱਟ ਕੀਤੇ ਗਏ ਹਨ ਜਾਂ ਨਹੀਂ। ਉਦਾਹਰਨ ਲਈ, ਇਹ ਦੇਖਣ ਲਈ ਕਿ snat ਅਤੇ dnat ਸਥਿਤੀ ਬਿੱਟ ਸੈੱਟ ਨਹੀਂ ਹਨ, ਤੁਸੀਂ ਇਹ ਨਿਸ਼ਚਿਤ ਕਰ ਸਕਦੇ ਹੋ: ... ct ਸਥਿਤੀ ! snat,dnat ਇਹ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿ ਸਿੰਨ ਬਿਟ ਬਿੱਟਮਾਸਕ ਵਿੱਚ ਸੈੱਟ ਹੈ, ack: ... tcp ਫਲੈਗ ਸਿੰ/syn,ack ਇਹ ਜਾਂਚ ਕਰਨ ਲਈ ਕਿ ਫਿਨ ਅਤੇ rst ਬਿੱਟ ਬਿੱਟਮਾਸਕ syn,ack,fin,rst ਵਿੱਚ ਸੈੱਟ ਨਹੀਂ ਹਨ: ... tcp ਫਲੈਗ! = fin,rst/syn,ack,fin,rst
• ਸੈੱਟ/ਨਕਸ਼ੇ ਦੀ ਕਿਸਮ ਦੀ ਪਰਿਭਾਸ਼ਾਵਾਂ ਵਿੱਚ "ਫੈਸਲਾ" ਕੀਵਰਡ ਦੀ ਆਗਿਆ ਦਿਓ: ਨਕਸ਼ਾ xm { typeof iifname ਸ਼ਾਮਲ ਕਰੋ। ਆਈਪੀ ਪ੍ਰੋਟੋਕੋਲ th dport : ਫੈਸਲਾ ;}

ਸਰੋਤ: opennet.ru