nftables ਪੈਕੇਟ ਫਿਲਟਰ 1.0.0 ਰੀਲੀਜ਼

ਪੈਕੇਟ ਫਿਲਟਰ nftables 1.0.0 ਦੀ ਰਿਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਹੈ, IPv4, IPv6, ARP ਅਤੇ ਨੈੱਟਵਰਕ ਬ੍ਰਿਜਾਂ (iptables, ip6table, arptables ਅਤੇ ebtables ਨੂੰ ਬਦਲਣ ਦਾ ਉਦੇਸ਼) ਲਈ ਪੈਕੇਟ ਫਿਲਟਰਿੰਗ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਇਕਜੁੱਟ ਕਰਨਾ। ਕੰਮ ਕਰਨ ਲਈ nftables 1.0.0 ਰੀਲੀਜ਼ ਲਈ ਲੋੜੀਂਦੀਆਂ ਤਬਦੀਲੀਆਂ ਨੂੰ Linux 5.13 ਕਰਨਲ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਸੰਸਕਰਣ ਸੰਖਿਆ ਵਿੱਚ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਤਬਦੀਲੀ ਕਿਸੇ ਬੁਨਿਆਦੀ ਤਬਦੀਲੀਆਂ ਨਾਲ ਜੁੜੀ ਨਹੀਂ ਹੈ, ਪਰ ਇਹ ਕੇਵਲ ਦਸ਼ਮਲਵ ਸੰਕੇਤ (ਪਿਛਲੀ ਰੀਲੀਜ਼ 0.9.9 ਸੀ) ਵਿੱਚ ਸੰਖਿਆ ਦੇ ਨਿਰੰਤਰ ਨਿਰੰਤਰਤਾ ਦਾ ਨਤੀਜਾ ਹੈ।

nftables ਪੈਕੇਜ ਵਿੱਚ ਪੈਕੇਟ ਫਿਲਟਰ ਭਾਗ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜੋ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਚੱਲਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਕਰਨਲ ਪੱਧਰ nf_tables ਸਬ-ਸਿਸਟਮ ਦੁਆਰਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ 3.13 ਤੋਂ ਬਾਅਦ ਲੀਨਕਸ ਕਰਨਲ ਦਾ ਹਿੱਸਾ ਰਿਹਾ ਹੈ। ਕਰਨਲ ਪੱਧਰ 'ਤੇ, ਸਿਰਫ ਇੱਕ ਆਮ ਪ੍ਰੋਟੋਕੋਲ-ਸੁਤੰਤਰ ਇੰਟਰਫੇਸ ਪ੍ਰਦਾਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਪੈਕੇਟਾਂ ਤੋਂ ਡਾਟਾ ਕੱਢਣ, ਡੇਟਾ 'ਤੇ ਕਾਰਵਾਈਆਂ ਕਰਨ, ਅਤੇ ਪ੍ਰਵਾਹ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਲਈ ਬੁਨਿਆਦੀ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਫਿਲਟਰਿੰਗ ਨਿਯਮ ਖੁਦ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ-ਵਿਸ਼ੇਸ਼ ਹੈਂਡਲਰ ਉਪਭੋਗਤਾ-ਸਪੇਸ ਬਾਈਟਕੋਡ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਸ ਬਾਈਟਕੋਡ ਨੂੰ ਨੈੱਟਲਿੰਕ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਰਨਲ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ BPF (ਬਰਕਲੇ ਪੈਕੇਟ ਫਿਲਟਰ) ਵਰਗੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਵਿੱਚ ਕਰਨਲ ਵਿੱਚ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਚੱਲ ਰਹੇ ਫਿਲਟਰਿੰਗ ਕੋਡ ਦੇ ਆਕਾਰ ਨੂੰ ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ ਘਟਾਉਣਾ ਅਤੇ ਪਾਰਸਿੰਗ ਨਿਯਮਾਂ ਦੇ ਸਾਰੇ ਫੰਕਸ਼ਨਾਂ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਨਾਲ ਕੰਮ ਕਰਨ ਦੇ ਤਰਕ ਨੂੰ ਉਪਭੋਗਤਾ ਸਪੇਸ ਵਿੱਚ ਲਿਜਾਣਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ।

ਮੁੱਖ ਨਵੀਨਤਾਵਾਂ:

• ਸੈੱਟ ਸੂਚੀਆਂ ਵਿੱਚ "*" ਮਾਸਕ ਤੱਤ ਲਈ ਸਮਰਥਨ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਕਿ ਕਿਸੇ ਵੀ ਪੈਕੇਜ ਲਈ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਜੋ ਸੈੱਟ ਵਿੱਚ ਪਰਿਭਾਸ਼ਿਤ ਹੋਰ ਤੱਤਾਂ ਦੇ ਅਧੀਨ ਨਹੀਂ ਆਉਂਦੇ ਹਨ। ਟੇਬਲ x { ਨਕਸ਼ਾ ਬਲਾਕਲਿਸਟ { ਟਾਈਪ ipv4_addr : ਫੈਸਲਾ ਫਲੈਗ ਅੰਤਰਾਲ ਤੱਤ = { 192.168.0.0/16 : ਸਵੀਕਾਰ ਕਰੋ, 10.0.0.0/8 : ਸਵੀਕਾਰ ਕਰੋ, * : ਡ੍ਰੌਪ } } ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਪ੍ਰੀਰੂਟਿੰਗ ਤਰਜੀਹ 0; ਨੀਤੀ ਸਵੀਕਾਰ; ip saddr vmap @blocklist } }
• “--define” ਵਿਕਲਪ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਮਾਂਡ ਲਾਈਨ ਤੋਂ ਵੇਰੀਏਬਲਾਂ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਨਾ ਸੰਭਵ ਹੈ। # cat test.nft ਟੇਬਲ netdev x { ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇਨਗਰੈਸ ਡਿਵਾਈਸ = $dev ਤਰਜੀਹ 0; ਪਾਲਿਸੀ ਡ੍ਰੌਪ; } } # nft — define dev="{ eth0, eth1 }" -f test.nft
• ਨਕਸ਼ਾ ਸੂਚੀਆਂ ਵਿੱਚ, ਸਥਿਰ (ਸਟੇਟਫੁੱਲ) ਸਮੀਕਰਨਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਇਜਾਜ਼ਤ ਹੈ: ਟੇਬਲ ਇਨੇਟ ਫਿਲਟਰ { ਨਕਸ਼ਾ ਪੋਰਟਮੈਪ { ਟਾਈਪ inet_service : ਫੈਸਲਾ ਵਿਰੋਧੀ ਤੱਤ = { 22 ਕਾਊਂਟਰ ਪੈਕੇਟ 0 ਬਾਈਟਸ 0 : ਜੰਪ ssh_ਇਨਪੁਟ, * ਕਾਊਂਟਰ ਪੈਕੇਟ 0 ਬਾਈਟਸ 0 : ਡਰਾਪ } } ਚੇਨ ssh_input { } ਚੇਨ wan_input { tcp dport vmap @portmap } ਚੇਨ ਪ੍ਰੀਰੂਟਿੰਗ { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਪ੍ਰੀਰੂਟਿੰਗ ਤਰਜੀਹ ਕੱਚੀ; ਨੀਤੀ ਸਵੀਕਾਰ; iif vmap { "lo" : ਜੰਪ ਵੈਨ_ਇਨਪੁਟ } }
• ਦਿੱਤੇ ਗਏ ਪੈਕੇਟ ਫੈਮਿਲੀ ਲਈ ਹੈਂਡਲਰਾਂ ਦੀ ਸੂਚੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਨ ਲਈ "ਲਿਸਟ ਹੁੱਕਸ" ਕਮਾਂਡ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ: # nft ਸੂਚੀ ਹੁੱਕਸ ip ਡਿਵਾਈਸ eth0 ਫੈਮਿਲੀ ip { ਹੁੱਕ ਇਨਗ੍ਰੇਸ { +0000000010 ਚੇਨ ਨੈੱਟਦੇਵ xy [nf_tables] +0000000300 ਚੇਨ inet mw [nf_tables in] { -0000000100 ਚੇਨ ip ab [nf_tables] +0000000300 ਚੇਨ inet mz [nf_tables] } ਹੁੱਕ ਫਾਰਵਰਡ { -0000000225 selinux_ipv4_forward 0000000000 ਚੇਨ ip ac [nf_tables }0000000225_4 ਚੇਨ ਆਈਪੀ ਏਸੀ [nf_tables] 0000000225_4 ਚੇਨ ਆਉਟ ਆਉਟਪੁੱਟ } ਹੁੱਕ ਪੋਸਟਰੂਟਿੰਗ { +XNUMX XNUMX selinux_ipvXNUMX_postroute } }
• ਕਤਾਰ ਬਲਾਕ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਕਤਾਰਾਂ ਵਿੱਚ ਪੈਕੇਟ ਵੰਡਣ ਲਈ jhash, symhash, ਅਤੇ numgen ਸਮੀਕਰਨਾਂ ਨੂੰ ਜੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ। … symhash ਮਾਡ 65536 ਤੱਕ ਕਤਾਰ … numgen inc mod 65536 ਨੂੰ ਬਾਈਪਾਸ … jhash oif ਲਈ ਕਤਾਰ . ਮੈਟਾ ਮਾਰਕ ਮੋਡ 32 "ਕਿਊ" ਨੂੰ ਆਰਬਿਟਰਰੀ ਕੁੰਜੀਆਂ ਦੇ ਅਧਾਰ ਤੇ ਉਪਭੋਗਤਾ ਸਪੇਸ ਵਿੱਚ ਇੱਕ ਕਤਾਰ ਚੁਣਨ ਲਈ ਨਕਸ਼ੇ ਸੂਚੀਆਂ ਨਾਲ ਵੀ ਜੋੜਿਆ ਜਾ ਸਕਦਾ ਹੈ। ... oifname ਨਕਸ਼ੇ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ ਕਤਾਰ ਫਲੈਗ { "eth0" : 0, "pp0" : 2, "eth1" : 2 }
• ਵੇਰੀਏਬਲਾਂ ਦਾ ਵਿਸਤਾਰ ਕਰਨਾ ਸੰਭਵ ਹੈ ਜਿਸ ਵਿੱਚ ਕਈ ਨਕਸ਼ਿਆਂ ਵਿੱਚ ਇੱਕ ਸੈੱਟ ਸੂਚੀ ਸ਼ਾਮਲ ਹੁੰਦੀ ਹੈ। ਇੰਟਰਫੇਸ ਪਰਿਭਾਸ਼ਿਤ ਕਰੋ = { eth0, eth1 } ਟੇਬਲ ip x { ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ 0; ਨੀਤੀ ਸਵੀਕਾਰ; iifname vmap { lo : accept, $interfaces : drop } } } # nft -f x.nft # nft ਸੂਚੀ ਨਿਯਮ ਸਾਰਣੀ ip x { ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ 0; ਨੀਤੀ ਸਵੀਕਾਰ; iifname vmap { "lo" : ਸਵੀਕਾਰ ਕਰੋ, "eth0" : drop, "eth1" : drop } } }
• ਅੰਤਰਾਲਾਂ 'ਤੇ vmaps (ਫੈਸਲੇ ਦਾ ਨਕਸ਼ਾ) ਨੂੰ ਜੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਹੈ: # nft ਨਿਯਮ xy tcp dport ਸ਼ਾਮਲ ਕਰੋ। ip saddr vmap { 1025-65535 . 192.168.10.2 : ਸਵੀਕਾਰ ਕਰੋ }
• NAT ਮੈਪਿੰਗ ਲਈ ਸਰਲੀਕ੍ਰਿਤ ਸੰਟੈਕਸ। ਪਤਾ ਰੇਂਜਾਂ ਨੂੰ ਨਿਸ਼ਚਿਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਗਈ ਹੈ: ... snat to ip saddr map { 10.141.11.4 : 192.168.2.2-192.168.2.4 } ਜਾਂ ਸਪਸ਼ਟ IP ਪਤੇ ਅਤੇ ਪੋਰਟਾਂ: ... dnat to ip saddr map { 10.141.11.4 : 192.168.2.3 . 80 } ਜਾਂ IP ਰੇਂਜਾਂ ਅਤੇ ਪੋਰਟਾਂ ਦੇ ਸੁਮੇਲ: ... dnat ਤੋਂ ip saddr . tcp dport ਨਕਸ਼ਾ { 192.168.1.2 . 80: 10.141.10.2-10.141.10.5. 8888-8999 }

ਸਰੋਤ: opennet.ru