nftables ਪੈਕੇਟ ਫਿਲਟਰ 1.0.6 ਰੀਲੀਜ਼

nftables 1.0.6 ਪੈਕੇਟ ਫਿਲਟਰ ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, IPv4, IPv6, ARP ਅਤੇ ਨੈੱਟਵਰਕ ਬ੍ਰਿਜਾਂ (iptables, ip6table, arptables ਅਤੇ ebtables ਨੂੰ ਬਦਲਣ ਦਾ ਉਦੇਸ਼) ਲਈ ਪੈਕੇਟ ਫਿਲਟਰਿੰਗ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਇਕਸਾਰ ਕਰਨਾ। nftables ਪੈਕੇਜ ਵਿੱਚ ਪੈਕੇਟ ਫਿਲਟਰ ਭਾਗ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜੋ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਚੱਲਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਕਰਨਲ ਪੱਧਰ nf_tables ਸਬ-ਸਿਸਟਮ ਦੁਆਰਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ 3.13 ਤੋਂ ਬਾਅਦ ਲੀਨਕਸ ਕਰਨਲ ਦਾ ਹਿੱਸਾ ਰਿਹਾ ਹੈ। ਕਰਨਲ ਪੱਧਰ 'ਤੇ, ਸਿਰਫ ਇੱਕ ਆਮ ਪ੍ਰੋਟੋਕੋਲ-ਸੁਤੰਤਰ ਇੰਟਰਫੇਸ ਪ੍ਰਦਾਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਪੈਕੇਟਾਂ ਤੋਂ ਡਾਟਾ ਕੱਢਣ, ਡੇਟਾ 'ਤੇ ਕਾਰਵਾਈਆਂ ਕਰਨ, ਅਤੇ ਪ੍ਰਵਾਹ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਲਈ ਬੁਨਿਆਦੀ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਫਿਲਟਰਿੰਗ ਨਿਯਮ ਖੁਦ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ-ਵਿਸ਼ੇਸ਼ ਹੈਂਡਲਰ ਉਪਭੋਗਤਾ-ਸਪੇਸ ਬਾਈਟਕੋਡ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਸ ਬਾਈਟਕੋਡ ਨੂੰ ਨੈੱਟਲਿੰਕ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਰਨਲ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ BPF (ਬਰਕਲੇ ਪੈਕੇਟ ਫਿਲਟਰ) ਵਰਗੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਵਿੱਚ ਕਰਨਲ ਵਿੱਚ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਚੱਲ ਰਹੇ ਫਿਲਟਰਿੰਗ ਕੋਡ ਦੇ ਆਕਾਰ ਨੂੰ ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ ਘਟਾਉਣਾ ਅਤੇ ਪਾਰਸਿੰਗ ਨਿਯਮਾਂ ਦੇ ਸਾਰੇ ਫੰਕਸ਼ਨਾਂ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਨਾਲ ਕੰਮ ਕਰਨ ਦੇ ਤਰਕ ਨੂੰ ਉਪਭੋਗਤਾ ਸਪੇਸ ਵਿੱਚ ਲਿਜਾਣਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ।

ਮੁੱਖ ਬਦਲਾਅ:

• ਨਿਯਮ ਆਪਟੀਮਾਈਜ਼ਰ ਵਿੱਚ "-o/--ਅਨੁਕੂਲਿਤ" ਵਿਕਲਪ ਨੂੰ ਨਿਸ਼ਚਿਤ ਕਰਦੇ ਸਮੇਂ, ਨਿਯਮਾਂ ਦੀ ਆਟੋਮੈਟਿਕ ਪੈਕੇਜਿੰਗ ਨੂੰ ਉਹਨਾਂ ਨੂੰ ਜੋੜ ਕੇ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਨਕਸ਼ੇ- ਅਤੇ ਸੈੱਟ-ਸੂਚੀਆਂ ਵਿੱਚ ਬਦਲ ਕੇ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਨਿਯਮ ਹਨ # cat ruleset.nft ਟੇਬਲ ip x { ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ ਫਿਲਟਰ; ਪਾਲਿਸੀ ਡ੍ਰੌਪ; meta iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.4 ਨੂੰ ਸਵੀਕਾਰ ਕਰੋ meta iifname eth1 ip saddr 1.1.1.2 ip2.2.3.0.ifname eth24 ip saddr 1 ip1.1.1.2.ifname saddr 2.2.4.0.if2.2.4.10. 2 .1.1.1.3 ip daddr 2.2.2.5-4 ਸਵੀਕਾਰ ਕਰੋ meta iifname eth17 ip saddr 74 ip daddr 1 accept } } ਤੋਂ ਬਾਅਦ "nft -o -c -f ruleset.nft" ਨੂੰ ਹੇਠਾਂ ਦਿੱਤੇ ਵਿੱਚ ਬਦਲਿਆ ਜਾਵੇਗਾ: ਨਿਯਮ ਸੈੱਟ। nft:1.1.1.1:2.2.2.3-5: meta iifname eth17 ip daddr 74 ip daddr 1 accept ruleset.nft:1.1.1.2:2.2.2.4-6: meta iifname eth17 ip saddr 77 ip daddr 1 ਨਿਯਮ ਸਵੀਕਾਰ ਕਰੋ 1.1.1.2:2.2.3.0-24: meta iifname eth7 ip saddr 17 ip daddr 83/1 accept ruleset.nft:1.1.1.2:2.2.4.0-2.2.4.10: meta iifname eth8 ip saddr 17 ip daddr 74. ਸਵੀਕਾਰ ਕਰੋ ruleset.nft:2:1.1.1.3-2.2.2.5: meta iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 ਇਸ ਵਿੱਚ ਸਵੀਕਾਰ ਕਰੋ: iifname। ਆਈਪੀ ਸਦਰ ip daddr { eth1 . 1.1.1.2. 2.2.2.4, eth1 . 1.1.1.2 2.2.3.0, eth24 . 1 1.1.1.2/2.2.4.0, eth2.2.4.10 . 2 1.1.1.3-2.2.2.5, ethXNUMX . XNUMX XNUMX} ਸਵੀਕਾਰ ਕਰੋ
• ਆਪਟੀਮਾਈਜ਼ਰ ਨਿਯਮਾਂ ਨੂੰ ਵੀ ਸੰਘਣਾ ਕਰ ਸਕਦਾ ਹੈ ਜੋ ਪਹਿਲਾਂ ਤੋਂ ਹੀ ਸਧਾਰਨ ਸੈੱਟਲਿਸਟਾਂ ਨੂੰ ਵਧੇਰੇ ਸੰਖੇਪ ਰੂਪ ਵਿੱਚ ਵਰਤਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ: # cat ruleset.nft ਟੇਬਲ ਆਈਪੀ ਫਿਲਟਰ { ਚੇਨ ਇਨਪੁਟ { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ ਫਿਲਟਰ; ਪਾਲਿਸੀ ਡ੍ਰੌਪ; iifname "lo" ਸਵੀਕਾਰ ਕਰੋ ct ਸਟੇਟ ਸਥਾਪਿਤ, ਸੰਬੰਧਿਤ ਸਵੀਕਾਰ ਕਰੋ ਟਿੱਪਣੀ "ਅਸੀਂ ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਸ਼ੁਰੂ ਕਰਦੇ ਹਾਂ, ਸਾਨੂੰ ਭਰੋਸਾ ਹੈ" iifname "enp0s31f6" ip saddr { 209.115.181.102, 216.197.228.230 } ip daddr 10.0.0.149 123 ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ iifname "enp32768s65535f0" ip saddr { 31, 6 } ip daddr 64.59.144.17 udp sport 64.59.150.133 udp dport 10.0.0.149-53 ਇਸ ਤਰ੍ਹਾਂ ਦੇ ਪੈਕੇਜ ਨੂੰ ਸਵੀਕਾਰ ਕਰੋ - ftn. } ftn. } ftn.c. ਦੇ ਬਾਅਦ ਚੱਲ ਰਹੇ ਨਿਯਮ ਨੂੰ ਸਵੀਕਾਰ ਕਰੋ "-ftn } ਪੈਕੇਜ ਨੂੰ ਸਵੀਕਾਰ ਕਰੋ। : Ruleset.nft:32768:65535-6: iifname "enp22s149f0" ip saddr { 31, 6 } ip daddr 209.115.181.102 udp ਸਪੋਰਟਸ 216.197.228.230-10.0.0.149 udp ਸਪੋਰਟ ਨਿਯਮ ਸਵੀਕਾਰ ਕਰਦੇ ਹਨ: :123-32768 65535 : iifname "enp7s22f143" ip saddr { 0, 31 } ip daddr 6 udp ਸਪੋਰਟ 64.59.144.17 udp dport 64.59.150.133-10.0.0.149 ਵਿੱਚ ਸਵੀਕਾਰ ਕਰੋ: iif ਨਾਮ। ਆਈਪੀ ਸਦਰ ip daddr. udp ਸਪੋਰਟ udp dport { enp53s32768f65535 . 0 . 31 . 6 . 209.115.181.102-10.0.0.149, enp123s32768f65535 . 0 . 31 . 6 . 216.197.228.230-10.0.0.149, enp123s32768f65535 . 0. 31 . 6 . 64.59.144.17-10.0.0.149, enp53s32768f65535 . 0. 31 . 6 . 64.59.150.133-10.0.0.149 } ਸਵੀਕਾਰ ਕਰੋ
• ਅੰਤਰਾਲਾਂ ਨੂੰ ਅਭੇਦ ਕਰਨ ਲਈ ਬਾਈਟਕੋਡ ਜਨਰੇਸ਼ਨ ਦੇ ਨਾਲ ਇੱਕ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ ਕਿ ਵੱਖੋ-ਵੱਖਰੇ ਅੰਤਮਤਾ ਨਾਲ ਕਿਸਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ IPv4 (ਨੈੱਟਵਰਕ ਐਂਡੀਅਨ) ਅਤੇ ਮੈਟਾ ਮਾਰਕ (ਸਿਸਟਮ ਐਂਡੀਅਨ)। ਸਾਰਣੀ ip x { ਨਕਸ਼ਾ w { ip saddr ਦੀ ਕਿਸਮ . ਮੈਟਾ ਮਾਰਕ : ਫੈਸਲਾ ਫਲੈਗ ਅੰਤਰਾਲ ਵਿਰੋਧੀ ਤੱਤ = {127.0.0.1-127.0.0.4 . 0x123434-0xb00122 : ਸਵੀਕਾਰ ਕਰੋ, 192.168.0.10-192.168.1.20 । 0x0000aa00-0x0000aaff : ਸਵੀਕਾਰ ਕਰੋ, } } ਚੇਨ k { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇੰਪੁੱਟ ਤਰਜੀਹ ਫਿਲਟਰ; ਪਾਲਿਸੀ ਡ੍ਰੌਪ; ਆਈਪੀ ਸਦਰ ਮੈਟਾ ਮਾਰਕ vmap @w } }
• ਕੱਚੇ ਸਮੀਕਰਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਸੁਧਾਰੀ ਗਈ ਦੁਰਲੱਭ ਪ੍ਰੋਟੋਕੋਲ ਮੈਪਿੰਗ, ਉਦਾਹਰਨ ਲਈ: meta l4proto 91 @th,400,16 0x0 ਸਵੀਕਾਰ
• ਅੰਤਰਾਲਾਂ 'ਤੇ ਨਿਯਮਾਂ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਦੇ ਨਾਲ ਹੱਲ ਕੀਤੇ ਗਏ ਮੁੱਦੇ: ਨਿਯਮ xy tcp ਖੇਡ { 3478-3497, 16384-16387 } ਕਾਊਂਟਰ ਸਵੀਕਾਰ ਕਰੋ
• ਸੈੱਟ ਅਤੇ ਮੈਪ ਸੂਚੀਆਂ ਵਿੱਚ ਸਮੀਕਰਨਾਂ ਦਾ ਸਮਰਥਨ ਕਰਨ ਲਈ JSON API ਨੂੰ ਸੁਧਾਰਿਆ ਗਿਆ ਹੈ।
• nftables python ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਐਕਸਟੈਂਸ਼ਨਾਂ ਵਿੱਚ, ਨਿਯਮ ਸੈੱਟਾਂ ਨੂੰ ਚੈੱਕ ਮੋਡ ("-c") ਵਿੱਚ ਪ੍ਰੋਸੈਸਿੰਗ ਲਈ ਲੋਡ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਗਈ ਹੈ ਅਤੇ ਬਾਹਰੀ ਵੇਰੀਏਬਲ ਪਰਿਭਾਸ਼ਾ ਲਈ ਸਮਰਥਨ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ।
• ਸੈੱਟ-ਸੂਚੀਆਂ ਦੇ ਤੱਤਾਂ ਵਿੱਚ ਟਿੱਪਣੀਆਂ ਜੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਹੈ।
• ਇਸਨੂੰ ਬਾਈਟ ਦਰ ਸੀਮਾ ਵਿੱਚ ਜ਼ੀਰੋ ਮੁੱਲ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਹੈ।

ਸਰੋਤ: opennet.ru