Utgivning av paketfiltret nftables 0.9.2

Händelse genomförd utgåvan av paketfilter nftables 0.9.2, som utvecklas som en ersättning för iptables, ip6tables, arptables och ebtables genom att enhetliggöra gränssnitten för paketfiltrering för IPv4, IPv6, ARP och nätverksbroar. Paketet nftables innehåller komponenter av paketfilter som fungerar i användarrummet, medan kärnnivån hanteras av nf_tables-subsystemet, som ingår i Linux-kärnan sedan version 3.13. De förändringar som krävs för nftables 0.9.2 ingår i Linux-kärnan 5.3.

I kärnnivån tillhandahålls bara ett allmänt gränssnitt som inte är beroende av ett specifikt protokoll och som erbjuder grundläggande funktioner för att extrahera data från paket, utföra operationer med data och hantera flöden. Själva filtreringslogiken och protokollspecifika bearbetare kompileras till bytekod i användarrummet, vilken laddas i kärnan via Netlink-gränssnittet och körs i en speciell virtuell maskin som påminner om BPF (Berkeley Packet Filters). Denna metod möjliggör en betydande minskning av kodstorleken för filtrering som körs på kärnnivå och flyttar alla funktioner för regelanalys och protokollhantering till användarrummet.

Huvudsakliga nyheter:

• Möjlighet att kontrollera portnumret från transportlagsheadern oberoende av typ av protokoll för nivå 4:

  add rule x y ip protocol { tcp, udp } th dport 53

• Stöd för att återställa livslängden på en uppsättning element:

  add element ip x y { 1.1.1.1 timeout 30s expires 15s }

• Möjlighet att kontrollera vissa alternativ (lsrr, rr, ssrr och ra) från IPv4-paket:

  add rule x y ip option rr exists drop

  För routingalternativ är det möjligt att kontrollera fälten type, ptr, length och addr:

  add rule x y ip option rr type 1 drop

• I uttryck är det nu tillåtet att ange nätverksprefix och adressintervall:

  iifname ens3 snat to 10.0.0.0/28
  iifname ens3 snat to 10.0.0.1-10.0.0.15

• Stöd för att använda variabler i kedjedefinitioner:

  define default_policy = accept
  add chain ip foo bar { type filter hook input priority filter; policy $default_policy }

• Specificering av kedjans prioritet kan nu göras både i numeriskt och symboliskt format:

  define prio = filter
  define prionum = 10
  define prioffset = «filter — 150»

  add table ip foo
  add chain ip foo bar { type filter hook input priority $prio; }
  add chain ip foo ber { type filter hook input priority $prionum; }
  add chain ip foo bor { type filter hook input priority $prioffset; }

• Stöd för synproxy-modulen har implementerats. Till exempel, för att skydda TCP-port 8888 under synproxy kan följande uppsättning regler användas:

  table ip x {
  chain y {
  typ filter hook prerouting prioritet raw; policy accept;
  tcp dport 8888 tcp flags syn notrack
  }

  chain z {
  typ filter hook forward prioritet filter; policy accept;
  tcp dport 8888 ct state invalid,untracked synproxy mss 1460 \
  wscale 7 timestamp sack-perm ct state invalid drop
  }
  }

• För att definiera i conntrack-tabellen de förväntade ytterligare anslutningar relaterade till den aktuella anslutningen, som tillämpas i protokoll och scenarier som kräver att flera anslutningar upprättas, kan policys nu definieras genom standard uppsättningar av regler. Till exempel, för att definiera de förväntade efterföljande anslutningarna till TCP-port 8888 och till port 5432 kan följande regler anges:

  tabell x {
  ct expectation myexpect {
  protokoll tcp
  dport 5432
  timeout 1h
  storlek 12
  l3proto ip
  }

  kedja input {
  typ filter hook input prioritet 0;
  ct state new tcp dport 8888 ct expectation set myexpect
  ct state established,related counter accept
  }
  }

Källa: opennet.ru