Arturo Borrero, Debian разработчик, член Coreteam проекта Netfilter и сопровождающий пакеты, связанные с nftables, iptables и netfilter в Debian. Перевести значительное обновление дистрибутива Debian 11 на использование nftables по умолчанию. В случае одобрения предложения пакеты с iptables будут классифицированы как необязательные опции и не будут включены в базовую поставку.
Пакетный фильтр Nftables примечателен унификацией интерфейсов фильтрации для IPv4, IPv6, ARP и сетевых мостов. Nftables предоставляет общий интерфейс на уровне ядра, не зависящий от конкретного протокола и обеспечивающий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком. Логика фильтрации и специфичные для протоколов обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро с помощью интерфейса Netlink и выполняется в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters).
По умолчанию в Debian 11 также предлагается использовать динамический межсетевой экран firewalld, который является оберткой над nftables. Firewalld работает как фоновый процесс, позволяя динамически изменять правила фильтрации пакетов через DBus, без необходимости перезагрузки правил и без разрыва существующих соединений. Для управления межсетевым экраном используется утилита firewall-cmd, которая при создании правил опирается не на сетевые интерфейсы и номера портов, а на названия служб (например, для открытия доступа к SSH необходимо выполнить «firewall-cmd —add —service=ssh», для закрытия SSH — «firewall-cmd —remove —service=ssh»). IP naslovovсетевых интерфейсов и номеров портов, а на названия служб (например, для открытия доступа к SSH нужно выполнить «firewall-cmd —add —service=ssh», для закрытия SSH — «firewall-cmd —remove —service=ssh»).
Izvor: opennet.ru
