Arturo Borrero, desenvolvedor Debian e membro da Coreteam do projeto Netfilter, que mantém os pacotes relacionados a nftables, iptables e netfilter no Debian. trazer a próxima versão significativa da distribuição Debian 11 para usar nftables como padrão. Se a proposta for aprovada, os pacotes com iptables serão movidos para a categoria de opções opcionais, que não farão parte da instalação base.
O filtro de pacotes Nftables é notável pela unificação das interfaces de filtragem de pacotes para IPv4, IPv6, ARP e pontes de rede. O Nftables fornece, a nível de núcleo, apenas uma interface comum, independente de protocolos, oferecendo funções básicas de extração de dados dos pacotes, execução de operações com esses dados e controle de fluxo. A lógica de filtragem específica e os manipuladores específicos do protocolo são compilados em bytecode no espaço do usuário, após o que esse bytecode é carregado no núcleo através da interface Netlink e executado em uma máquina virtual especial, semelhante ao BPF (Berkeley Packet Filters).
Por padrão, o Debian 11 também sugere a utilização do firewall dinâmico firewalld, que é implementado como uma camada sobre o nftables. O firewalld é executado como um processo em segundo plano, permitindo alterar dinamicamente as regras de filtragem de pacotes através do DBus, sem a necessidade de reiniciar as regras de filtragem e sem interromper conexões estabelecidas. A ferramenta usada para gerenciar o firewall é o firewall-cmd, que, ao criar regras, não considera endereços IP, interfaces de rede e números de portas, mas sim os nomes dos serviços (por exemplo, para permitir acesso ao SSH, é necessário executar "firewall-cmd --add --service=ssh", e para fechar o SSH, "firewall-cmd --remove --service=ssh").
Fonte: opennet.ru
