Seguindo e desenvolvedores do Ubuntu de transitar para o uso padrão do filtro de pacotes .
Para manter a compatibilidade retroativa, propõe-se usar o pacote , que fornece utilitários com a mesma sintaxe de linha de comando que o iptables, mas traduz as regras recebidas em bytecode nf_tables. A mudança está prevista para ser incluída na versão de outono do Ubuntu 20.10.
Esta é a segunda tentativa de transição do Ubuntu para nftables. A primeira tentativa ocorreu no ano passado, mas foi rejeitada devido à incompatibilidade com a ferramenta . Agora, o LXD já possui suporte integrado ao nftables e pode operar com o novo backend para filtragem de pacotes. Para os usuários que não estão satisfeitos com a camada de compatibilidade, a possibilidade de instalar os utilitários clássicos iptables, ip6tables, arptables e ebtables com o antigo backend.
É bom lembrar que, no filtro de pacotes as interfaces de filtragem de pacotes foram unificadas para IPv4, IPv6, ARP e pontes de rede. O pacote nftables inclui componentes do filtro de pacotes que operam no espaço do usuário, enquanto no nível do kernel a operação é garantida pelo subsistema nf_tables, que faz parte do kernel Linux desde a versão 3.13. No nível do kernel, é fornecida apenas uma interface genérica, que não depende de um protocolo específico e fornece funções básicas de extração de dados de pacotes, execução de operações com dados e controle de fluxo.
As regras de filtragem propriamente ditas e os manipuladores específicos de protocolos são compilados em bytecode no espaço do usuário, sendo esse bytecode carregado no kernel através da interface Netlink e executado no kernel em uma máquina virtual especial, semelhante ao BPF (Berkeley Packet Filters). Essa abordagem permite reduzir significativamente o tamanho do código de filtragem que opera no nível do kernel e transferir todas as funções de análise de regras e lógica de operação com protocolos para o espaço do usuário.
Fonte: opennet.ru
