Arturo Borrero, vývojár Debian, člen Coreteam projektu Netfilter a spravujúci balíky súvisiace s nftables, iptables a netfilter v Debiane, preložiť nasledujúce významné vydanie distribúcie Debian 11 na použitie nftables ako predvolené. V prípade schválenia návrhu budú balíky s iptables zaradené medzi voliteľné možnosti, ktoré nie sú súčasťou základnej distribúcie.
Balíkový filter Nftables je známy zjednotením filtrovacích rozhraní pre IPv4, IPv6, ARP a sieťové mosty. Nftables poskytuje na úrovni jadra len spoločné rozhranie, ktoré nezávisí od konkrétneho protokolu a poskytuje základné funkcie na extrakciu údajov z paketov, vykonávanie operácií s údajmi a správu toku. Logika filtrovania a protokoly špecifické pre spracovanie sú prekladané do bajtkódu na úrovni užívateľského priestoru, po čom je tento bajtkód načítaný do jadra prostredníctvom rozhrania Netlink a vykonáva sa v špeciálnej virtuálnej mašine, ktorá pripomína BPF (Berkeley Packet Filters).
Predvolene sa v Debian 11 navrhuje zapnúť dynamický firewall firewalld, ktorý je usporiadaný ako obal nad nftables. Firewalld beží ako proces na pozadí, čo umožňuje dynamicky meniť pravidlá filtrovania paketov prostredníctvom DBus, bez nutnosti reštartovať pravidlá filtrovania paketov a bez prerušenia existujúcich pripojení. Na správu firewallu sa používa utilita firewall-cmd, ktorá pri vytváraní pravidiel nezohľadňuje IP adresy, sieťové rozhrania a čísla portov, ale názvy služieb (napríklad na otvorenie prístupu k SSH je potrebné vykonať „firewall-cmd --add --service=ssh“, na uzavretie SSH — „firewall-cmd --remove --service=ssh“).
Zdroj: opennet.ru
