nftables ਪੈਕੇਟ ਫਿਲਟਰ 1.0.3 ਰੀਲੀਜ਼

ਪੈਕੇਟ ਫਿਲਟਰ nftables 1.0.3 ਦੀ ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਹੈ, IPv4, IPv6, ARP ਅਤੇ ਨੈੱਟਵਰਕ ਬ੍ਰਿਜਾਂ (iptables, ip6table, arptables ਅਤੇ ebtables ਨੂੰ ਬਦਲਣ ਦਾ ਉਦੇਸ਼) ਲਈ ਪੈਕੇਟ ਫਿਲਟਰਿੰਗ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਇਕਸਾਰ ਕਰਨਾ। ਕੰਮ ਕਰਨ ਲਈ nftables 1.0.3 ਰੀਲੀਜ਼ ਲਈ ਲੋੜੀਂਦੀਆਂ ਤਬਦੀਲੀਆਂ ਨੂੰ Linux 5.18 ਕਰਨਲ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ।

nftables ਪੈਕੇਜ ਵਿੱਚ ਪੈਕੇਟ ਫਿਲਟਰ ਭਾਗ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜੋ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਚੱਲਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਕਰਨਲ ਪੱਧਰ nf_tables ਸਬ-ਸਿਸਟਮ ਦੁਆਰਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ 3.13 ਤੋਂ ਬਾਅਦ ਲੀਨਕਸ ਕਰਨਲ ਦਾ ਹਿੱਸਾ ਰਿਹਾ ਹੈ। ਕਰਨਲ ਪੱਧਰ 'ਤੇ, ਸਿਰਫ ਇੱਕ ਆਮ ਪ੍ਰੋਟੋਕੋਲ-ਸੁਤੰਤਰ ਇੰਟਰਫੇਸ ਪ੍ਰਦਾਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਪੈਕੇਟਾਂ ਤੋਂ ਡਾਟਾ ਕੱਢਣ, ਡੇਟਾ 'ਤੇ ਕਾਰਵਾਈਆਂ ਕਰਨ, ਅਤੇ ਪ੍ਰਵਾਹ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਲਈ ਬੁਨਿਆਦੀ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਫਿਲਟਰਿੰਗ ਨਿਯਮ ਖੁਦ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ-ਵਿਸ਼ੇਸ਼ ਹੈਂਡਲਰ ਉਪਭੋਗਤਾ-ਸਪੇਸ ਬਾਈਟਕੋਡ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਸ ਬਾਈਟਕੋਡ ਨੂੰ ਨੈੱਟਲਿੰਕ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਰਨਲ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ BPF (ਬਰਕਲੇ ਪੈਕੇਟ ਫਿਲਟਰ) ਵਰਗੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਵਿੱਚ ਕਰਨਲ ਵਿੱਚ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਚੱਲ ਰਹੇ ਫਿਲਟਰਿੰਗ ਕੋਡ ਦੇ ਆਕਾਰ ਨੂੰ ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ ਘਟਾਉਣਾ ਅਤੇ ਪਾਰਸਿੰਗ ਨਿਯਮਾਂ ਦੇ ਸਾਰੇ ਫੰਕਸ਼ਨਾਂ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਨਾਲ ਕੰਮ ਕਰਨ ਦੇ ਤਰਕ ਨੂੰ ਉਪਭੋਗਤਾ ਸਪੇਸ ਵਿੱਚ ਲਿਜਾਣਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ।

ਮੁੱਖ ਨਵੀਨਤਾਵਾਂ:

• ਸੈੱਟ ਸੂਚੀਆਂ ਹੁਣ ਮਾਸਕ ਦੁਆਰਾ ਮੇਲ ਖਾਂਦੇ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਨਾਮਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦੀਆਂ ਹਨ, ਉਦਾਹਰਨ ਲਈ, "*" ਚਿੰਨ੍ਹ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਨਿਸ਼ਚਿਤ ਕੀਤਾ ਗਿਆ ਹੈ: ਟੇਬਲ ਇਨੇਟ ਟੈਸਟੀਫ਼ਸੈਟਸ { ਸੈਟ ਸਧਾਰਨ_ਵਾਈਲਡ { ਟਾਈਪ ifname ਫਲੈਗ ਅੰਤਰਾਲ ਤੱਤ = { "abcdef*", "ਹੋਰਨਾਮ", "pp0" } } ਚੇਨ v4icmp { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ 0; ਨੀਤੀ ਸਵੀਕਾਰ; iifname @simple_wild ਕਾਊਂਟਰ ਪੈਕੇਟ 0 ਬਾਈਟਸ 0 iifname { “abcdef*”, “eth0” } ਕਾਊਂਟਰ ਪੈਕੇਟ 0 ਬਾਈਟਸ 0 } }
• ਓਪਰੇਸ਼ਨ ਦੌਰਾਨ ਇਕ ਦੂਜੇ ਨੂੰ ਕੱਟਣ ਵਾਲੇ ਸੈੱਟ-ਸੂਚੀ ਦੇ ਤੱਤਾਂ ਦਾ ਆਟੋਮੈਟਿਕ ਮਿਲਾਨ ਲਾਗੂ ਕੀਤਾ ਗਿਆ। ਪਹਿਲਾਂ, ਜਦੋਂ "ਆਟੋ-ਅਭੇਦ" ਵਿਕਲਪ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਸੀ, ਨਿਯਮਾਂ ਦੀ ਘੋਸ਼ਣਾ ਕਰਨ ਦੇ ਪੜਾਅ 'ਤੇ ਵਿਲੀਨਤਾ ਕੀਤੀ ਜਾਂਦੀ ਸੀ, ਪਰ ਹੁਣ ਇਹ ਉਦੋਂ ਵੀ ਕੰਮ ਕਰਦਾ ਹੈ ਜਦੋਂ ਕਾਰਵਾਈ ਦੌਰਾਨ ਨਵੇਂ ਤੱਤ ਲਗਾਤਾਰ ਸ਼ਾਮਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਘੋਸ਼ਣਾ ਪੜਾਅ 'ਤੇ, ਸੂਚੀ ਸੈੱਟ y { ਫਲੈਗ ਅੰਤਰਾਲ ਆਟੋ-ਅਭੇਦ ਤੱਤ = { 1.2.3.0, 1.2.3.255, 1.2.3.0/24, 3.3.3.3, 4.4.4.4, 4.4.4.4-4.4.4.8 , 3.3.3.4 , 3.3.3.5 } } ਤੱਤ = {1.2.3.0/24, 3.3.3.3-3.3.3.5, 4.4.4.4-4.4.4.8 } ਵਿੱਚ ਬਦਲ ਜਾਵੇਗਾ ਅਤੇ ਫਿਰ ਜੇਕਰ ਤੁਸੀਂ ਨਵੇਂ ਐਲੀਮੈਂਟਸ # nft ਐਡ ਐਲੀਮੈਂਟ ਜੋੜਦੇ ਹੋ ip xy { 1.2.3.0 -1.2.4.255, 3.3.3.6 } ਤੱਤ = {1.2.3.0-1.2.4.255, 3.3.3.3-3.3.3.6, 4.4.4.4-4.4.4.8 } ਵਰਗਾ ਦਿਖਾਈ ਦੇਵੇਗਾ

  ਜਦੋਂ ਤੁਸੀਂ ਸੂਚੀ ਵਿੱਚੋਂ ਵਿਅਕਤੀਗਤ ਆਈਟਮਾਂ ਨੂੰ ਹਟਾਉਂਦੇ ਹੋ ਜੋ ਮੌਜੂਦਾ ਰੇਂਜ ਆਈਟਮਾਂ ਵਿੱਚ ਆਉਂਦੀਆਂ ਹਨ, ਤਾਂ ਰੇਂਜ ਨੂੰ ਛੋਟਾ ਜਾਂ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ।

• ਇੱਕ ਮੈਪ ਸੂਚੀ ਵਿੱਚ ਮਲਟੀਪਲ ਐਡਰੈੱਸ ਟ੍ਰਾਂਸਲੇਸ਼ਨ (NAT) ਨਿਯਮਾਂ ਨੂੰ ਜੋੜਨ ਲਈ ਸਮਰਥਨ ਨਿਯਮ ਆਪਟੀਮਾਈਜ਼ਰ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜਿਸਨੂੰ "-o/—ਅਨੁਕੂਲਿਤ" ਵਿਕਲਪ ਨਿਰਧਾਰਤ ਕੀਤੇ ਜਾਣ 'ਤੇ ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਸੈੱਟ # cat ruleset.nft ਟੇਬਲ ਲਈ ip x { ਚੇਨ y { ਟਾਈਪ nat hook postrouting priority srcnat; ਪਾਲਿਸੀ ਡ੍ਰੌਪ; ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ip saddr 2.2.2.2 tcp dport 8001 snat ਤੋਂ 5.5.5.5:90 } }

  "nft -o -c -f ruleset.nft" ਨੂੰ ਚਲਾਉਣਾ ਵੱਖਰੇ "ip saddr" ਨਿਯਮਾਂ ਨੂੰ ਇੱਕ ਨਕਸ਼ਾ ਸੂਚੀ ਵਿੱਚ ਬਦਲ ਦੇਵੇਗਾ: snat ਤੋਂ ip saddr। tcp dport ਨਕਸ਼ਾ { 1.1.1.1 . 8000: 4.4.4.4. 80, 2.2.2.2. 8001: 5.5.5.5. 90}

  ਇਸੇ ਤਰ੍ਹਾਂ, ਕੱਚੇ ਸਮੀਕਰਨਾਂ ਨੂੰ ਨਕਸ਼ੇ ਦੀਆਂ ਸੂਚੀਆਂ ਵਿੱਚ ਬਦਲਿਆ ਜਾ ਸਕਦਾ ਹੈ: # cat ruleset.nft ਸਾਰਣੀ ip x { […] ਚੇਨ nat_dns_acme { udp ਲੰਬਾਈ 47-63 @th,160,128 0x0e373135363130333131303735353203 @ d_p62st ਲੰਬਾਈ @ _d78st _d160,128_0st ਲੰਬਾਈ 0 31393032383939353831343037320x5301e62e goto nat_dns_this_78 udp ਲੰਬਾਈ 160,128-0 @th,0 31363436323733373931323934300x5301e62e goto nat_dns_saturn_78 udp ਲੰਬਾਈ 160,128-0 @th,0 32393535373539353636383732310 5302e goto nat_dns_saturn_62 udp ਲੰਬਾਈ 78-160,128 @th,0 0x38353439353637323038363633390e5303e ਜਾਓ nat_dns_saturn_XNUMX ਡਰਾਪ }}

  ਓਪਟੀਮਾਈਜੇਸ਼ਨ ਤੋਂ ਬਾਅਦ ਸਾਨੂੰ ਇੱਕ ਨਕਸ਼ਾ ਸੂਚੀ ਮਿਲਦੀ ਹੈ: udp length. @th,160,128 vmap { 47-63 . 0x0e373135363130333131303735353203 : nat_dns_dnstc, 62-78 'ਤੇ ਜਾਓ। 0x0e31393032383939353831343037320e : nat_dns_this_5301, 62-78 'ਤੇ ਜਾਓ। 0x0e31363436323733373931323934300e : nat_dns_saturn_5301, 62-78 'ਤੇ ਜਾਓ। 0x0e32393535373539353636383732310e : nat_dns_saturn_5302, 62-78 'ਤੇ ਜਾਓ। 0x0e38353439353637323038363633390e : goto nat_dns_saturn_5303 }

• ਸੰਯੋਜਨ ਕਾਰਜਾਂ ਵਿੱਚ ਕੱਚੇ ਸਮੀਕਰਨਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਆਗਿਆ ਹੈ। ਉਦਾਹਰਨ ਲਈ: #nft ਨਿਯਮ xy ip saddr ਸ਼ਾਮਲ ਕਰੋ। @ih,32,32 { 1.1.1.1 . 0x14, 2.2.2.2 . 0x1e } ਜਾਂ ਸਾਰਣੀ x { ਸੈੱਟ y { ip saddr ਦੀ ਕਿਸਮ। @ih,32,32 ਤੱਤ = { 1.1.1.1 . 0x14 } }
• ਸੰਯੋਜਨ ਕਾਰਜਾਂ ਵਿੱਚ ਪੂਰਨ ਅੰਕ ਸਿਰਲੇਖ ਖੇਤਰਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ: ਟੇਬਲ inet t { ਨਕਸ਼ਾ m1 { udp ਲੰਬਾਈ ਦੀ ਕਿਸਮ। @ih,32,32 : ਫੈਸਲਾ ਫਲੈਗ ਅੰਤਰਾਲ ਤੱਤ = {20-80 . 0x14 : ਸਵੀਕਾਰ ਕਰੋ, 1-10। 0xa : ਡ੍ਰੌਪ } } ਚੇਨ c { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ 0; ਪਾਲਿਸੀ ਡ੍ਰੌਪ; udp ਲੰਬਾਈ। @ih,32,32 vmap @m1 } }
• TCP ਵਿਕਲਪਾਂ ਨੂੰ ਰੀਸੈੱਟ ਕਰਨ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ (ਸਿਰਫ਼ ਲੀਨਕਸ ਕਰਨਲ 5.18+ ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ): tcp ਫਲੈਗ ਸਿੰਨ ਰੀਸੈਟ tcp ਵਿਕਲਪ sack-perm
• ਚੇਨ ਆਉਟਪੁੱਟ ਕਮਾਂਡਾਂ (“nft ਸੂਚੀ ਚੇਨ xy”) ਦੇ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਤੇਜ਼ ਕੀਤਾ ਗਿਆ ਹੈ।

ਸਰੋਤ: opennet.ru