Nasleduje a vývojári Ubuntu prejdenia na použitie predvoleného paketového filtra .
Na zachovanie spätnej kompatibility sa odporúča používať balík , ktorý poskytuje nástroje so rovnakou syntaxou príkazového riadku ako v iptables, ale prekladá prijaté pravidlá do bajtkódu nf_tables. Zmena sa plánuje zahrnúť do jesenného vydania Ubuntu 20.10.
Toto je druhý pokus prechodu Ubuntu na nftables. Prvý pokus bol vykonaný minulý rok, ale bol odmietnutý kvôli nekompatibilite s nástrojmi . Teraz má LXD už zabudovanú podporu nftables a môže pracovať s novým backendom pre filtráciu paketov. Pre používateľov, ktorým nestačí vrstva na zabezpečenie kompatibility, je možnosť nainštalovať klasické nástroje iptables, ip6tables, arptables a ebtables so starým backendom.
Pripomíname, že v paketovom filtri sú unifikované rozhrania filtrácie paketov pre IPv4, IPv6, ARP a sieťové mosty. V paket nftables patrí komponenty paketového filtra, ktoré pracujú v užívateľskom priestore, zatiaľ čo na úrovni jadra zabezpečuje prácu subsystém nf_tables, súčasť jadra Linux od verzie 3.13. Na úrovni jadra je poskytnuté iba všeobecné rozhranie, nezávislé od konkrétneho protokolu a poskytujúce základné funkcie na extrakciu údajov z paketov, vykonávanie operácií s údajmi a riadenie toku.
Samotné pravidlá filtrácie a špecifické pre protokoly spracovatelia sa kompilujú do bajtkódu v užívateľskom priestore, po čom sa tento bajtkód nahráva do jadra pomocou rozhrania Netlink a vykonáva sa v jadre v špeciálnej virtuálnej machine, pripomínajúcej BPF (Berkeley Packet Filters). Takýto prístup umožňuje výrazne znížiť veľkosť kódu filtrácie, ktorý funguje na úrovni jadra a vyčleniť všetky funkcie analýzy pravidiel a logiky práce s protokolmi do užívateľského priestoru.
Zdroj: opennet.ru
