Arturo Borrero, dezvoltator Debian, membru al echipei centrale a proiectului Netfilter, și care întreține în Debian pachetele asociate cu nftables, iptables și netfilter, urmează să traducă următoarea lansare semnificativă a distribuției Debian 11 pentru a utiliza nftables ca implicit. În cazul aprobării propunerii, pachetele cu iptables vor fi clasificate ca opțiuni opționale, neincluse în livrarea de bază.
Filtrul de pachete Nftables este remarcabil prin unificarea interfețelor de filtrare a pachetelor pentru IPv4, IPv6, ARP și punți de rețea. Nftables oferă la nivel de nucleu o interfață comună, independentă de protocolul specific, și furnizează funcții de bază pentru extragerea datelor din pachete, executarea operațiunilor cu datele și gestionarea fluxului. Logica de filtrare și manipulatoarele specifice protocoalelor sunt compilate în bytecode în spațiul utilizatorului, după care acest bytecode este încărcat în nucleu prin intermediul interfeței Netlink și executat într-o mașină virtuală specială, asemănătoare BPF (Berkeley Packet Filters).
În mod implicit, în Debian 11 se propune de asemenea activarea firewall-ului dinamic firewalld, conceput ca un strat deasupra nftables. Firewalld rulează ca un proces în fundal, permițând modificarea dinamică a regulilor de filtrare a pachetelor prin DBus, fără a necesita reîncărcarea regulilor de filtrare a pachetelor și fără a întrerupe conexiunile stabilite. Pentru gestionarea firewall-ului se utilizează utilitarul firewall-cmd, care la crearea regulilor se bazează nu pe adreselor IP, interfețele de rețea și numerele de porturi, ci pe denumirile serviciilor (de exemplu, pentru a deschide accesul la SSH, trebuie să executați „firewall-cmd —add —service=ssh”, iar pentru a închide SSH — „firewall-cmd —remove —service=ssh”).
Sursa: opennet.ro
