ProHoster > Blog > lajme në internet > Lëshimi i filtrit të paketave nftables 0.9.3

Lëshimi i filtrit të paketave nftables 0.9.3

botuar lirimi i filtrit të paketës nftables 0.9.3, i cili po zhvillohet si zëvendësim për iptables, ip6table, arptables dhe ebtables duke unifikuar ndërfaqet e filtrimit të paketave për IPv4, IPv6, ARP dhe urat e rrjetit. Paketa nftables përfshin komponentë të filtrimit të paketave që veprojnë në hapësirën e përdoruesit, ndërsa funksionaliteti në nivel kernel ofrohet nga nënsistemi nf_tables, i cili është pjesë e kernelit. Linux Duke filluar me versionin 3.13, ndryshimet e kërkuara që nftables 0.9.3 të funksionojë përfshihen në degën e ardhshme të kernelit. Linux 5.5.

Niveli i kernelit siguron vetëm një ndërfaqe gjenerike të pavarur nga protokolli që ofron funksione bazë për nxjerrjen e të dhënave nga paketat, kryerjen e operacioneve të të dhënave dhe kontrollin e rrjedhës. Vetë logjika e filtrimit dhe mbajtësit specifikë të protokollit përpilohen në bytecode në hapësirën e përdoruesit, pas së cilës ky bajtkod ngarkohet në kernel duke përdorur ndërfaqen Netlink dhe ekzekutohet në një makinë virtuale speciale që të kujton BPF (Berkeley Packet Filters). Kjo qasje ju lejon të zvogëloni ndjeshëm madhësinë e kodit të filtrimit që funksionon në nivelin e kernelit dhe të zhvendosni të gjitha funksionet e rregullave të analizimit dhe logjikës për të punuar me protokollet në hapësirën e përdoruesit.

Risitë kryesore:

  • MbĂ«shtetje pĂ«r pĂ«rputhjen e paketave sipas kohĂ«s. Ju mund tĂ« pĂ«rcaktoni intervalet e kohĂ«s dhe datave nĂ« tĂ« cilat do tĂ« aktivizohet rregulli dhe mund tĂ« konfiguroni aktivizimin nĂ« ditĂ«t individuale tĂ« javĂ«s. U shtua gjithashtu njĂ« opsion i ri "-T" pĂ«r tĂ« shfaqur kohĂ«n epokale nĂ« sekonda.

    meta ora \»2019-12-24 16:00\" — \»2020-01-02 7:00\"
    meta orë \"17:00\" - \"19:00\"
    meta dita \"Premte\"

  • MbĂ«shtetje pĂ«r rivendosjen dhe ruajtjen e etiketave SELinux (shenjĂ« sekuence).

    ct secmark set meta secmark
    set meta secmark ct secmark

  • MbĂ«shtetje pĂ«r listat e hartave synproxy, duke ju lejuar tĂ« pĂ«rcaktoni mĂ« shumĂ« se njĂ« rregull pĂ«r fund.

    ip tavoline foo {
    synproxy https-synproxy {
    mss 1460
    wshkalla 7
    vula kohore sack-perm
    }

    synproxy other-synproxy {
    mss 1460
    wshkalla 5
    }

    zinxhir para {
    lloji i fiksimit të filtrit, prioriteti i parakalimit të parë; pranimi i politikës;
    tcp dport 8888 tcp flags syn notrack
    }

    shirit zinxhir {
    lloji i filtrit hook përpara filtër prioritar; pranimi i politikës;
    ct gjendje e pavlefshme, emri i sinproksit i pa gjurmuar ip saddr harta { 192.168.1.0/24 : "https-synproxy", 192.168.2.0/24 : "other-synproxy" }
    }
    }

  • AftĂ«sia pĂ«r tĂ« hequr nĂ« mĂ«nyrĂ« dinamike elementet e grupit nga rregullat e pĂ«rpunimit tĂ« paketave.

    Rregulli nft shto ... fshi @set5 { ip6 saddr . ip6 babi}

  • MbĂ«shtetje pĂ«r hartĂ«zimin VLAN me ID dhe protokoll tĂ« pĂ«rcaktuar nĂ« metadatat e ndĂ«rfaqes sĂ« urĂ«s sĂ« rrjetit;

    meta ibrpvid 100
    meta ibrvproto vlan

  • Opsioni "-t" ("--terse") pĂ«r tĂ« pĂ«rjashtuar elementet e grupeve kur shfaqen rregullat. Ekzekutimi i "nft -t list rregullave" do tĂ« dalĂ«:

    tabela ip x {
    vendos y {
    shkruani ipv4_addr
    }
    }

    Dhe me "listën e rregullave nft"

    tabela ip x {
    vendos y {
    shkruani ipv4_addr
    elementet = { 192.168.10.2, 192.168.20.1,
    192.168.4.4, 192.168.2.34 }
    }
    }

  • AftĂ«sia pĂ«r tĂ« specifikuar mĂ« shumĂ« se njĂ« pajisje nĂ« zinxhirĂ«t netdev (funksionon vetĂ«m me kernel 5.5) pĂ«r tĂ« kombinuar rregullat e zakonshme tĂ« filtrimit.

    shtoni tabelën netdev x
    shtoni zinxhirin netdev xy { \
    tipi pajisjet e hyrjes së grepit të filtrit = { eth0, eth1 } prioriteti 0;
    }

  • AftĂ«sia pĂ«r tĂ« shtuar pĂ«rshkrime tĂ« llojeve tĂ« tĂ« dhĂ«nave.

    #nft përshkruani ipv4_addr
    tipi i të dhënave ipv4_addr (adresa IPv4) (numri i plotë i tipit bazë), 32 bit

  • AftĂ«sia pĂ«r tĂ« ndĂ«rtuar njĂ« ndĂ«rfaqe CLI me bibliotekĂ«n linenoise nĂ« vend tĂ« libreadline.

    ./konfiguro --with-cli=linenoise

Burimi: opennet.ru

Bleni njĂ« host tĂ« besueshĂ«m pĂ«r faqet me mbrojtje DDoS, serverĂ« VPS VDS đŸ”„ Bleni hosting tĂ« besueshĂ«m tĂ« faqeve tĂ« internetit me mbrojtje DDoS, servera VPS VDS | ProHoster