nftables ਪੈਕੇਟ ਫਿਲਟਰ 1.0.3 ਰੀਲੀਜ਼

nftables 1.0.3, ਇੱਕ ਪੈਕੇਟ ਫਿਲਟਰਿੰਗ ਫਰੇਮਵਰਕ ਜੋ IPv4, IPv6, ARP, ਅਤੇ ਨੈੱਟਵਰਕ ਬ੍ਰਿਜਾਂ ਲਈ ਪੈਕੇਟ ਫਿਲਟਰਿੰਗ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਏਕੀਕ੍ਰਿਤ ਕਰਦਾ ਹੈ, ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਹੈ (iptables, ip6table, arptables, ਅਤੇ ebtables ਦੇ ਬਦਲ ਵਜੋਂ ਨਿਸ਼ਾਨਾ ਬਣਾਇਆ ਗਿਆ ਹੈ)। nftables 1.0.3 ਲਈ ਲੋੜੀਂਦੇ ਬਦਲਾਅ ਕਰਨਲ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ। Linux 5.18.

nftables ਪੈਕੇਜ ਵਿੱਚ ਪੈਕੇਟ ਫਿਲਟਰ ਹਿੱਸੇ ਹੁੰਦੇ ਹਨ ਜੋ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਕੰਮ ਕਰਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਕਰਨਲ-ਪੱਧਰ ਦਾ ਕੰਮ nf_tables ਸਬ-ਸਿਸਟਮ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ ਕਰਨਲ ਦਾ ਹਿੱਸਾ ਹੈ। Linux ਰੀਲੀਜ਼ 3.13 ਤੋਂ ਬਾਅਦ, ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਸਿਰਫ਼ ਇੱਕ ਆਮ ਪ੍ਰੋਟੋਕੋਲ-ਸੁਤੰਤਰ ਇੰਟਰਫੇਸ ਪ੍ਰਦਾਨ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਪੈਕੇਟਾਂ ਤੋਂ ਡੇਟਾ ਕੱਢਣ, ਡੇਟਾ ਓਪਰੇਸ਼ਨ ਕਰਨ ਅਤੇ ਪ੍ਰਵਾਹ ਨਿਯੰਤਰਣ ਲਈ ਬੁਨਿਆਦੀ ਕਾਰਜਸ਼ੀਲਤਾ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਫਿਲਟਰਿੰਗ ਨਿਯਮ ਆਪਣੇ ਆਪ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ-ਵਿਸ਼ੇਸ਼ ਹੈਂਡਲਰਾਂ ਨੂੰ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਬਾਈਟਕੋਡ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਸ ਬਾਈਟਕੋਡ ਨੂੰ ਨੈੱਟਲਿੰਕ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਰਨਲ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਕਰਨਲ ਵਿੱਚ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਰੂਪ ਵਿੱਚ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਵਰਚੁਅਲ ਮਸ਼ੀਨ, BPF (ਬਰਕਲੇ ਪੈਕੇਟ ਫਿਲਟਰ) ਦੀ ਯਾਦ ਦਿਵਾਉਂਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਚੱਲ ਰਹੇ ਫਿਲਟਰਿੰਗ ਕੋਡ ਦੇ ਆਕਾਰ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਕਮੀ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਅਤੇ ਸਾਰੇ ਨਿਯਮ ਪਾਰਸਿੰਗ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਲਾਜਿਕ ਨੂੰ ਉਪਭੋਗਤਾ ਸਪੇਸ ਵਿੱਚ ਭੇਜਦੀ ਹੈ।

ਮੁੱਖ ਨਵੀਨਤਾਵਾਂ:

• ਸੈੱਟ ਸੂਚੀਆਂ ਹੁਣ ਮਾਸਕ ਦੁਆਰਾ ਮੇਲ ਖਾਂਦੇ ਨੈੱਟਵਰਕ ਇੰਟਰਫੇਸ ਨਾਮਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦੀਆਂ ਹਨ, ਉਦਾਹਰਨ ਲਈ, "*" ਚਿੰਨ੍ਹ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਨਿਸ਼ਚਿਤ ਕੀਤਾ ਗਿਆ ਹੈ: ਟੇਬਲ ਇਨੇਟ ਟੈਸਟੀਫ਼ਸੈਟਸ { ਸੈਟ ਸਧਾਰਨ_ਵਾਈਲਡ { ਟਾਈਪ ifname ਫਲੈਗ ਅੰਤਰਾਲ ਤੱਤ = { "abcdef*", "ਹੋਰਨਾਮ", "pp0" } } ਚੇਨ v4icmp { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ 0; ਨੀਤੀ ਸਵੀਕਾਰ; iifname @simple_wild ਕਾਊਂਟਰ ਪੈਕੇਟ 0 ਬਾਈਟਸ 0 iifname { “abcdef*”, “eth0” } ਕਾਊਂਟਰ ਪੈਕੇਟ 0 ਬਾਈਟਸ 0 } }
• ਓਪਰੇਸ਼ਨ ਦੌਰਾਨ ਇਕ ਦੂਜੇ ਨੂੰ ਕੱਟਣ ਵਾਲੇ ਸੈੱਟ-ਸੂਚੀ ਦੇ ਤੱਤਾਂ ਦਾ ਆਟੋਮੈਟਿਕ ਮਿਲਾਨ ਲਾਗੂ ਕੀਤਾ ਗਿਆ। ਪਹਿਲਾਂ, ਜਦੋਂ "ਆਟੋ-ਅਭੇਦ" ਵਿਕਲਪ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਸੀ, ਨਿਯਮਾਂ ਦੀ ਘੋਸ਼ਣਾ ਕਰਨ ਦੇ ਪੜਾਅ 'ਤੇ ਵਿਲੀਨਤਾ ਕੀਤੀ ਜਾਂਦੀ ਸੀ, ਪਰ ਹੁਣ ਇਹ ਉਦੋਂ ਵੀ ਕੰਮ ਕਰਦਾ ਹੈ ਜਦੋਂ ਕਾਰਵਾਈ ਦੌਰਾਨ ਨਵੇਂ ਤੱਤ ਲਗਾਤਾਰ ਸ਼ਾਮਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਘੋਸ਼ਣਾ ਪੜਾਅ 'ਤੇ, ਸੂਚੀ ਸੈੱਟ y { ਫਲੈਗ ਅੰਤਰਾਲ ਆਟੋ-ਅਭੇਦ ਤੱਤ = { 1.2.3.0, 1.2.3.255, 1.2.3.0/24, 3.3.3.3, 4.4.4.4, 4.4.4.4-4.4.4.8 , 3.3.3.4 , 3.3.3.5 } } ਤੱਤ = {1.2.3.0/24, 3.3.3.3-3.3.3.5, 4.4.4.4-4.4.4.8 } ਵਿੱਚ ਬਦਲ ਜਾਵੇਗਾ ਅਤੇ ਫਿਰ ਜੇਕਰ ਤੁਸੀਂ ਨਵੇਂ ਐਲੀਮੈਂਟਸ # nft ਐਡ ਐਲੀਮੈਂਟ ਜੋੜਦੇ ਹੋ ip xy { 1.2.3.0 -1.2.4.255, 3.3.3.6 } ਤੱਤ = {1.2.3.0-1.2.4.255, 3.3.3.3-3.3.3.6, 4.4.4.4-4.4.4.8 } ਵਰਗਾ ਦਿਖਾਈ ਦੇਵੇਗਾ

  ਜਦੋਂ ਤੁਸੀਂ ਸੂਚੀ ਵਿੱਚੋਂ ਵਿਅਕਤੀਗਤ ਆਈਟਮਾਂ ਨੂੰ ਹਟਾਉਂਦੇ ਹੋ ਜੋ ਮੌਜੂਦਾ ਰੇਂਜ ਆਈਟਮਾਂ ਵਿੱਚ ਆਉਂਦੀਆਂ ਹਨ, ਤਾਂ ਰੇਂਜ ਨੂੰ ਛੋਟਾ ਜਾਂ ਵੰਡਿਆ ਜਾਂਦਾ ਹੈ।

• ਇੱਕ ਮੈਪ ਸੂਚੀ ਵਿੱਚ ਮਲਟੀਪਲ ਐਡਰੈੱਸ ਟ੍ਰਾਂਸਲੇਸ਼ਨ (NAT) ਨਿਯਮਾਂ ਨੂੰ ਜੋੜਨ ਲਈ ਸਮਰਥਨ ਨਿਯਮ ਆਪਟੀਮਾਈਜ਼ਰ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜਿਸਨੂੰ "-o/—ਅਨੁਕੂਲਿਤ" ਵਿਕਲਪ ਨਿਰਧਾਰਤ ਕੀਤੇ ਜਾਣ 'ਤੇ ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਸੈੱਟ # cat ruleset.nft ਟੇਬਲ ਲਈ ip x { ਚੇਨ y { ਟਾਈਪ nat hook postrouting priority srcnat; ਪਾਲਿਸੀ ਡ੍ਰੌਪ; ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ip saddr 2.2.2.2 tcp dport 8001 snat ਤੋਂ 5.5.5.5:90 } }

  "nft -o -c -f ruleset.nft" ਨੂੰ ਚਲਾਉਣਾ ਵੱਖਰੇ "ip saddr" ਨਿਯਮਾਂ ਨੂੰ ਇੱਕ ਨਕਸ਼ਾ ਸੂਚੀ ਵਿੱਚ ਬਦਲ ਦੇਵੇਗਾ: snat ਤੋਂ ip saddr। tcp dport ਨਕਸ਼ਾ { 1.1.1.1 . 8000: 4.4.4.4. 80, 2.2.2.2. 8001: 5.5.5.5. 90}

  ਇਸੇ ਤਰ੍ਹਾਂ, ਕੱਚੇ ਸਮੀਕਰਨਾਂ ਨੂੰ ਨਕਸ਼ੇ ਦੀਆਂ ਸੂਚੀਆਂ ਵਿੱਚ ਬਦਲਿਆ ਜਾ ਸਕਦਾ ਹੈ: # cat ruleset.nft ਸਾਰਣੀ ip x { […] ਚੇਨ nat_dns_acme { udp ਲੰਬਾਈ 47-63 @th,160,128 0x0e373135363130333131303735353203 @ d_p62st ਲੰਬਾਈ @ _d78st _d160,128_0st ਲੰਬਾਈ 0 31393032383939353831343037320x5301e62e goto nat_dns_this_78 udp ਲੰਬਾਈ 160,128-0 @th,0 31363436323733373931323934300x5301e62e goto nat_dns_saturn_78 udp ਲੰਬਾਈ 160,128-0 @th,0 32393535373539353636383732310 5302e goto nat_dns_saturn_62 udp ਲੰਬਾਈ 78-160,128 @th,0 0x38353439353637323038363633390e5303e ਜਾਓ nat_dns_saturn_XNUMX ਡਰਾਪ }}

  ਓਪਟੀਮਾਈਜੇਸ਼ਨ ਤੋਂ ਬਾਅਦ ਸਾਨੂੰ ਇੱਕ ਨਕਸ਼ਾ ਸੂਚੀ ਮਿਲਦੀ ਹੈ: udp length. @th,160,128 vmap { 47-63 . 0x0e373135363130333131303735353203 : nat_dns_dnstc, 62-78 'ਤੇ ਜਾਓ। 0x0e31393032383939353831343037320e : nat_dns_this_5301, 62-78 'ਤੇ ਜਾਓ। 0x0e31363436323733373931323934300e : nat_dns_saturn_5301, 62-78 'ਤੇ ਜਾਓ। 0x0e32393535373539353636383732310e : nat_dns_saturn_5302, 62-78 'ਤੇ ਜਾਓ। 0x0e38353439353637323038363633390e : goto nat_dns_saturn_5303 }

• ਸੰਯੋਜਨ ਕਾਰਜਾਂ ਵਿੱਚ ਕੱਚੇ ਸਮੀਕਰਨਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਆਗਿਆ ਹੈ। ਉਦਾਹਰਨ ਲਈ: #nft ਨਿਯਮ xy ip saddr ਸ਼ਾਮਲ ਕਰੋ। @ih,32,32 { 1.1.1.1 . 0x14, 2.2.2.2 . 0x1e } ਜਾਂ ਸਾਰਣੀ x { ਸੈੱਟ y { ip saddr ਦੀ ਕਿਸਮ। @ih,32,32 ਤੱਤ = { 1.1.1.1 . 0x14 } }
• ਸੰਯੋਜਨ ਕਾਰਜਾਂ ਵਿੱਚ ਪੂਰਨ ਅੰਕ ਸਿਰਲੇਖ ਖੇਤਰਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ: ਟੇਬਲ inet t { ਨਕਸ਼ਾ m1 { udp ਲੰਬਾਈ ਦੀ ਕਿਸਮ। @ih,32,32 : ਫੈਸਲਾ ਫਲੈਗ ਅੰਤਰਾਲ ਤੱਤ = {20-80 . 0x14 : ਸਵੀਕਾਰ ਕਰੋ, 1-10। 0xa : ਡ੍ਰੌਪ } } ਚੇਨ c { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ 0; ਪਾਲਿਸੀ ਡ੍ਰੌਪ; udp ਲੰਬਾਈ। @ih,32,32 vmap @m1 } }
• Добавлена поддержка сброса TCP-опций (работает только при наличии ядра Linux 5.18+): tcp flags syn reset tcp option sack-perm
• ਚੇਨ ਆਉਟਪੁੱਟ ਕਮਾਂਡਾਂ (“nft ਸੂਚੀ ਚੇਨ xy”) ਦੇ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਤੇਜ਼ ਕੀਤਾ ਗਿਆ ਹੈ।

ਸਰੋਤ: opennet.ru