nftables ਪੈਕੇਟ ਫਿਲਟਰ 1.0.7 ਰੀਲੀਜ਼

nftables 1.0.7 ਪੈਕੇਟ ਫਿਲਟਰ ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, IPv4, IPv6, ARP ਅਤੇ ਨੈੱਟਵਰਕ ਬ੍ਰਿਜਾਂ (iptables, ip6table, arptables ਅਤੇ ebtables ਨੂੰ ਬਦਲਣ ਦਾ ਉਦੇਸ਼) ਲਈ ਪੈਕੇਟ ਫਿਲਟਰਿੰਗ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਇਕਸਾਰ ਕਰਨਾ। nftables ਪੈਕੇਜ ਵਿੱਚ ਪੈਕੇਟ ਫਿਲਟਰ ਭਾਗ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ ਜੋ ਯੂਜ਼ਰ ਸਪੇਸ ਵਿੱਚ ਚੱਲਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਕਰਨਲ ਪੱਧਰ nf_tables ਸਬ-ਸਿਸਟਮ ਦੁਆਰਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ 3.13 ਤੋਂ ਬਾਅਦ ਲੀਨਕਸ ਕਰਨਲ ਦਾ ਹਿੱਸਾ ਰਿਹਾ ਹੈ। ਕਰਨਲ ਪੱਧਰ 'ਤੇ, ਸਿਰਫ ਇੱਕ ਆਮ ਪ੍ਰੋਟੋਕੋਲ-ਸੁਤੰਤਰ ਇੰਟਰਫੇਸ ਪ੍ਰਦਾਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਪੈਕੇਟਾਂ ਤੋਂ ਡਾਟਾ ਕੱਢਣ, ਡੇਟਾ 'ਤੇ ਕਾਰਵਾਈਆਂ ਕਰਨ, ਅਤੇ ਪ੍ਰਵਾਹ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਨ ਲਈ ਬੁਨਿਆਦੀ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਫਿਲਟਰਿੰਗ ਨਿਯਮ ਖੁਦ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ-ਵਿਸ਼ੇਸ਼ ਹੈਂਡਲਰ ਉਪਭੋਗਤਾ-ਸਪੇਸ ਬਾਈਟਕੋਡ ਵਿੱਚ ਕੰਪਾਇਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਇਸ ਬਾਈਟਕੋਡ ਨੂੰ ਨੈੱਟਲਿੰਕ ਇੰਟਰਫੇਸ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਰਨਲ ਵਿੱਚ ਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ BPF (ਬਰਕਲੇ ਪੈਕੇਟ ਫਿਲਟਰ) ਵਰਗੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਵਿੱਚ ਕਰਨਲ ਵਿੱਚ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਪਹੁੰਚ ਕਰਨਲ ਪੱਧਰ 'ਤੇ ਚੱਲ ਰਹੇ ਫਿਲਟਰਿੰਗ ਕੋਡ ਦੇ ਆਕਾਰ ਨੂੰ ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ ਘਟਾਉਣਾ ਅਤੇ ਪਾਰਸਿੰਗ ਨਿਯਮਾਂ ਦੇ ਸਾਰੇ ਫੰਕਸ਼ਨਾਂ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਨਾਲ ਕੰਮ ਕਰਨ ਦੇ ਤਰਕ ਨੂੰ ਉਪਭੋਗਤਾ ਸਪੇਸ ਵਿੱਚ ਲਿਜਾਣਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ।

ਮੁੱਖ ਬਦਲਾਅ:

• ਲੀਨਕਸ ਕਰਨਲ 6.2+ ਚਲਾਉਣ ਵਾਲੇ ਸਿਸਟਮਾਂ ਲਈ, vxlan, geneve, gre, ਅਤੇ gretap ਪ੍ਰੋਟੋਕੋਲ ਮੈਪਿੰਗ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜਿਸ ਨਾਲ ਸਧਾਰਨ ਸਮੀਕਰਨਾਂ ਨੂੰ ਐਨਕੈਪਸੂਲੇਟਡ ਪੈਕੇਟਾਂ ਵਿੱਚ ਸਿਰਲੇਖਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੱਤੀ ਗਈ ਹੈ। ਉਦਾਹਰਨ ਲਈ, VxLAN ਤੋਂ ਇੱਕ ਨੇਸਟਡ ਪੈਕੇਟ ਦੇ ਸਿਰਲੇਖ ਵਿੱਚ IP ਐਡਰੈੱਸ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ, ਤੁਸੀਂ ਹੁਣ ਨਿਯਮਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ (ਪਹਿਲਾਂ VxLAN ਸਿਰਲੇਖ ਨੂੰ ਡੀ-ਏਨਕੈਪਸਲੇਟ ਕਰਨ ਅਤੇ ਫਿਲਟਰ ਨੂੰ vxlan0 ਇੰਟਰਫੇਸ ਨਾਲ ਬੰਨ੍ਹਣ ਦੀ ਲੋੜ ਤੋਂ ਬਿਨਾਂ): ... udp dport 4789 vxlan ip protocol udp ... udp dport 4789 vxlan ip saddr 1.2.3.0. 24/4789 ... udp dport 1.2.3.4 vxlan ip saddr . vxlan ip daddr { 4.3.2.1 . XNUMX}
• ਇੱਕ ਸੈੱਟ-ਲਿਸਟ ਐਲੀਮੈਂਟ ਨੂੰ ਅੰਸ਼ਕ ਤੌਰ 'ਤੇ ਮਿਟਾਉਣ ਤੋਂ ਬਾਅਦ ਬਾਕੀਆਂ ਦੇ ਆਟੋਮੈਟਿਕ ਮਿਲਾਨ ਲਈ ਸਮਰਥਨ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਮੌਜੂਦਾ ਰੇਂਜ ਤੋਂ ਇੱਕ ਐਲੀਮੈਂਟ ਜਾਂ ਰੇਂਜ ਦੇ ਹਿੱਸੇ ਨੂੰ ਮਿਟਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ (ਪਹਿਲਾਂ, ਇੱਕ ਰੇਂਜ ਨੂੰ ਸਿਰਫ਼ ਪੂਰੀ ਤਰ੍ਹਾਂ ਮਿਟਾਇਆ ਜਾ ਸਕਦਾ ਸੀ)। ਉਦਾਹਰਨ ਲਈ, 25-24 ਅਤੇ 30-40 ਰੇਂਜਾਂ ਵਾਲੀ ਇੱਕ ਸੈੱਟ ਸੂਚੀ ਵਿੱਚੋਂ ਤੱਤ 50 ਨੂੰ ਹਟਾਉਣ ਤੋਂ ਬਾਅਦ, ਸੂਚੀ 24, 26-30 ਅਤੇ 40-50 ਰਹੇਗੀ। ਕੰਮ ਕਰਨ ਲਈ ਆਟੋਮਰਿੰਗ ਲਈ ਲੋੜੀਂਦੇ ਫਿਕਸ 5.10+ ਕਰਨਲ ਦੀਆਂ ਸਥਿਰ ਸ਼ਾਖਾਵਾਂ ਦੇ ਰੱਖ-ਰਖਾਅ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੇ ਜਾਣਗੇ। # nft ਸੂਚੀ ਰੂਲਸੈਟ ਟੇਬਲ ip x { ਸੈੱਟ y { ਕਿਸਮ ਦਾ tcp dport ਫਲੈਗ ਅੰਤਰਾਲ ਆਟੋ-ਮਰਜ ਐਲੀਮੈਂਟ = { 24-30, 40-50 } } } # nft ਐਲੀਮੈਂਟ ਨੂੰ ਮਿਟਾਓ ip xy { 25 } # nft ਸੂਚੀ ਨਿਯਮ ਸਾਰਣੀ ip x { ਸੈੱਟ y {tcp dport ਫਲੈਗ ਅੰਤਰਾਲ ਆਟੋ-ਅਭੇਦ ਤੱਤ = {24, 26-30, 40-50 } } }
• ਪਤਾ ਅਨੁਵਾਦ (NAT) ਦੀ ਮੈਪਿੰਗ ਕਰਦੇ ਸਮੇਂ ਸੰਪਰਕਾਂ ਅਤੇ ਰੇਂਜਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਟੇਬਲ ip nat { ਚੇਨ ਪ੍ਰੀਰੂਟਿੰਗ { ਟਾਈਪ nat ਹੁੱਕ prerouting priority dstnat; ਨੀਤੀ ਸਵੀਕਾਰ; dnat ਨੂੰ ip daddr. tcp dport ਨਕਸ਼ਾ { 10.1.1.136 . 80: 1.1.2.69. 1024, 10.1.1.10-10.1.1.20. 8888-8889: 1.1.2.69. 2048-2049 } ਨਿਰੰਤਰ } }
• "ਆਖਰੀ" ਸਮੀਕਰਨ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ, ਜੋ ਤੁਹਾਨੂੰ ਨਿਯਮ ਤੱਤ ਜਾਂ ਸੈੱਟ ਸੂਚੀ ਦੀ ਆਖਰੀ ਵਰਤੋਂ ਦੇ ਸਮੇਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇਹ ਵਿਸ਼ੇਸ਼ਤਾ ਲੀਨਕਸ ਕਰਨਲ 5.14 ਨਾਲ ਸ਼ੁਰੂ ਹੋਣ ਲਈ ਸਮਰਥਿਤ ਹੈ। ਸਾਰਣੀ ip x { ਸੈੱਟ y { ip daddr ਦੀ ਕਿਸਮ . tcp dport ਆਕਾਰ 65535 ਫਲੈਗ ਡਾਇਨਾਮਿਕ, ਟਾਈਮਆਉਟ ਆਖਰੀ ਸਮਾਂ ਸਮਾਪਤੀ 1h } ਚੇਨ z { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਆਉਟਪੁੱਟ ਤਰਜੀਹ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; ਅੱਪਡੇਟ @y { ip daddr . tcp dport } } } # nft ਸੂਚੀ ਸੈੱਟ ip xy ਟੇਬਲ ip x { ਸੈੱਟ y { ip daddr ਦੀ ਕਿਸਮ . tcp dport ਆਕਾਰ 65535 ਫਲੈਗ ਡਾਇਨਾਮਿਕ, ਟਾਈਮਆਉਟ ਆਖਰੀ ਸਮਾਂ ਸਮਾਪਤ 1h ਤੱਤ = {172.217.17.14 . 443 ਆਖਰੀ ਵਾਰ ਵਰਤੀ ਗਈ 1s591ms ਸਮਾਂ ਸਮਾਪਤੀ 1h ਦੀ ਮਿਆਦ 59m58s409ms, 172.67.69.19। 443 ਆਖਰੀ ਵਾਰ ਵਰਤੀ ਗਈ 4s636ms ਸਮਾਂ ਸਮਾਪਤੀ 1h ਦੀ ਮਿਆਦ 59m55s364ms, 142.250.201.72 . 443 ਆਖਰੀ ਵਾਰ ਵਰਤੀ ਗਈ 4s748ms ਸਮਾਂ ਸਮਾਪਤੀ 1h ਦੀ ਮਿਆਦ 59m55s252ms, 172.67.70.134 . 443 ਪਿਛਲੀ ਵਾਰ ਵਰਤੀ ਗਈ 4s688ms ਸਮਾਂ ਸਮਾਪਤੀ 1h ਦੀ ਮਿਆਦ 59m55s312ms, 35.241.9.150 . 443 ਆਖਰੀ ਵਾਰ ਵਰਤੀ ਗਈ 5s204ms ਸਮਾਂ ਸਮਾਪਤੀ 1h ਦੀ ਮਿਆਦ 59m54s796ms, 138.201.122.174 . 443 ਆਖਰੀ ਵਾਰ ਵਰਤੀ ਗਈ 4s537ms ਸਮਾਂ ਸਮਾਪਤੀ 1h ਦੀ ਮਿਆਦ 59m55s463ms, 34.160.144.191 . 443 ਆਖਰੀ ਵਾਰ ਵਰਤੀ ਗਈ 5s205ms ਸਮਾਂ ਸਮਾਪਤੀ 1h ਦੀ ਮਿਆਦ 59m54s795ms, 130.211.23.194 . 443 ਆਖਰੀ ਵਾਰ ਵਰਤੀ ਗਈ 4s436ms ਸਮਾਂ ਸਮਾਪਤੀ 1h ਦੀ ਮਿਆਦ 59m55s564ms } }
• ਸੈੱਟ ਸੂਚੀਆਂ ਵਿੱਚ ਕੋਟਾ ਪਰਿਭਾਸ਼ਿਤ ਕਰਨ ਦੀ ਯੋਗਤਾ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ। ਉਦਾਹਰਨ ਲਈ, ਹਰੇਕ ਟਾਰਗੇਟ IP ਪਤੇ ਲਈ ਟ੍ਰੈਫਿਕ ਕੋਟਾ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ, ਤੁਸੀਂ ਨਿਸ਼ਚਿਤ ਕਰ ਸਕਦੇ ਹੋ: ਟੇਬਲ netdev x { set y { typeof ip daddr size 65535 10000 mbytes ਤੋਂ ਵੱਧ ਕੋਟਾ } ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਈਗ੍ਰੇਸ ਡਿਵਾਈਸ "eth0" ਤਰਜੀਹ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; ip daddr @y ਡ੍ਰੌਪ } } # nft ਐਡ ਐਲੀਮੈਂਟ inet xy { 8.8.8.8 } # ping -c 2 8.8.8.8 # nft ਸੂਚੀ ਨਿਯਮ ਟੇਬਲ ਨੈੱਟਦੇਵ x { ਸੈੱਟ y { ਟਾਈਪ ipv4_addr ਆਕਾਰ 65535 ਕੋਟਾ 10000 mbytes = 8.8.8.8 ਐਲੀਮੈਂਟਸ ਤੋਂ ਵੱਧ। 10000 ਕੋਟਾ 196 ਮੈਬਾਈਟ ਤੋਂ ਵੱਧ ਵਰਤਿਆ ਗਿਆ 0 ਬਾਈਟਸ } } ਚੇਨ y { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਐਗਰੈਸ ਡਿਵਾਈਸ "ethXNUMX" ਤਰਜੀਹ ਫਿਲਟਰ; ਨੀਤੀ ਸਵੀਕਾਰ; ip daddr @y ਡ੍ਰੌਪ } }
• ਸੈੱਟ ਸੂਚੀਆਂ ਵਿੱਚ ਸਥਿਰਾਂਕ ਦੀ ਵਰਤੋਂ ਦੀ ਇਜਾਜ਼ਤ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਜਦੋਂ ਮੰਜ਼ਿਲ ਦਾ ਪਤਾ ਅਤੇ VLAN ID ਨੂੰ ਸੂਚੀ ਕੁੰਜੀ ਦੇ ਤੌਰ 'ਤੇ ਵਰਤਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਸਿੱਧੇ VLAN ਨੰਬਰ (daddr. 123): ਟੇਬਲ netdev t { set s { typeof ether saddr. vlan id ਆਕਾਰ 2048 ਫਲੈਗ ਡਾਇਨਾਮਿਕ, ਟਾਈਮਆਊਟ ਟਾਈਮਆਊਟ 1m } ਚੇਨ c { ਟਾਈਪ ਫਿਲਟਰ ਹੁੱਕ ਇਨਗਰੇਸ ਡਿਵਾਈਸ eth0 ਤਰਜੀਹ 0; ਨੀਤੀ ਸਵੀਕਾਰ; ਈਥਰ ਕਿਸਮ != 8021q ਅੱਪਡੇਟ @s { ਈਥਰ ਡੈਡਰ . 123 } ਕਾਊਂਟਰ } }
• ਵਸਤੂਆਂ ਨੂੰ ਬਿਨਾਂ ਸ਼ਰਤ ਮਿਟਾਉਣ ਲਈ ਇੱਕ ਨਵੀਂ "ਨਸ਼ਟ" ਕਮਾਂਡ ਜੋੜੀ ਗਈ ਹੈ (ਡਿਲੀਟ ਕਮਾਂਡ ਦੇ ਉਲਟ, ਇਹ ਇੱਕ ਗੁੰਮ ਆਬਜੈਕਟ ਨੂੰ ਮਿਟਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਵੇਲੇ ENOENT ਨਹੀਂ ਬਣਾਉਂਦਾ ਹੈ)। ਕੰਮ ਕਰਨ ਲਈ ਘੱਟੋ-ਘੱਟ Linux ਕਰਨਲ 6.3-rc ਦੀ ਲੋੜ ਹੈ। ਟੇਬਲ ਆਈਪੀ ਫਿਲਟਰ ਨੂੰ ਨਸ਼ਟ ਕਰੋ

ਸਰੋਤ: opennet.ru