Utgivning av nftables paketfilter 0.9.4

Publicerad utgivning av paketfilter nftables 0.9.4, som utvecklas som en ersättning för iptables, ip6tables, arptables och ebtables genom att förena gränssnitten för paketfiltrering för IPv4, IPv6, ARP och nätverksbryggor. Paketet nftables inkluderar komponenter av paketfiltern som arbetar i användarrummet, medan kärnnivåns arbete tillhandahålls av nf_tables subsystemet, som ingår i Linux-kärnan sedan version 3.13. Nödvändiga ändringar för att stödja nftables 0.9.4 ingår i en kommande kärngren Linux 5.6.

På kärnnivå tillhandahålls endast ett gemensamt gränssnitt, oberoende av specifik protokoll och ger grundläggande funktioner för att extrahera data från paket, utföra operationer med data och kontrollera flödet. Regler för filtrering och protokollspecifika behandlare kompileras direkt till bytekod i användarrummet, varefter denna bytekod laddas in i kärnan via Netlink-gränssnittet och utförs i kärnan i en speciell virtuell maskin som liknar BPF (Berkeley Packet Filters). Detta tillvägagångssätt möjliggör en betydande minskning av storleken på filtreringskoden som körs på kärnnivå och flyttar alla funktioner för reglerdjup och logik av protokoll till användarrummet.

Huvudsakliga nyheter:

• Stöd för intervall i sammanfogningar (concatenation, specifika adresser och portbindningar som förenklar matchning). Till exempel, för en uppsättning "whitelist", där elementen är en sammanfogning, kommer flaggan "interval" att ange att uppsättningen kan inkludera intervall i sammanfogningen (för sammanfogningen "ipv4_addr . ipv4_addr . inet_service" kunde man tidigare ange exakta matchningar såsom "192.168.10.35 . 192.68.11.123 . 80", men nu kan man ange adressgrupper "192.168.10.35-192.168.10.40 . 192.68.11.123-192.168.11.125 . 80"):

  table ip foo {
  set whitelist {
  type ipv4_addr . ipv4_addr . inet_service
  flags interval
  elements = { 192.168.10.35-192.168.10.40 . 192.68.11.123-192.168.11.125 . 80 }
  }

  chain bar {
  type filter hook prerouting priority filter; policy drop;
  ip saddr . ip daddr . tcp dport @whitelist accept
  }
  }

• I uppsättningar och map-lists finns möjlighet att använda direktivet "typeof", som definierar formatet för ett element vid matchning.
  Till exempel:

  table ip foo {
  set whitelist {
  typeof ip saddr
  elements = { 192.168.10.35, 192.168.10.101, 192.168.10.135 }
  }

  chain bar {
  type filter hook prerouting priority filter; policy drop;
  ip daddr @whitelist accept
  }
  }

  table ip foo {
  map addr2mark {
  typeof ip saddr : meta mark
  elements = { 192.168.10.35 : 0x00000001, 192.168.10.135 : 0x00000002 }
  }
  }

• Möjlighet till användning av sammanfogningar i NAT-bindningar har lagts till, vilket möjliggör angivande av adress och port vid definiering av NAT-transformationer baserat på map-lists eller namngivna uppsättningar:

  nft add rule ip nat pre dnat ip addr . port to ip saddr map { 1.1.1.1 : 2.2.2.2 . 30 }

  nft add map ip nat destinations { type ipv4_addr . inet_service : ipv4_addr . inet_service \; }
  nft add rule ip nat pre dnat ip addr . port to ip saddr . tcp dport map @destinations

• Stöd för hårdvaruacceleration genom att överföra vissa filtreringsoperationer till nätverkskortet. Acceleration aktiveras via verktyget ethtool ("ethtool -K eth0 hw-tc-offload on"), varefter det aktiveras i nftables för huvudkedjan med hjälp av flaggan "offload". Med Linux-kärnan 5.6 stöds hårdvaruacceleration för fältmatchning och inkommande gränssnittskontroll i kombination med mottagning, utkastning, kopiering (dup) och omdirigering (fwd) av paket. I exemplet nedan utförs utkastning av paket som kommer från adressen 192.168.30.20 på nivå av nätverkskortet, utan att paket skickas till kärnan:

  # cat file.nft
  table netdev x {
  chain y {
  type filter hook ingress device eth0 priority 10; flags offload;
  ip saddr 192.168.30.20 drop
  }
  }
  # nft -f file.nft

• Förbättrad felmeddelande om platsen för ett regelbrott.

  # nft delete rule ip y z handle 7
  Error: Could not process rule: No such file or directory
  delete rule ip y z handle 7
  ^

  # nft delete rule ip x x handle 7
  Error: Could not process rule: No such file or directory
  delete rule ip x x handle 7
  ^

  # nft delete table twst
  Error: No such file or directory; did you mean table ‘test’ in family ip?
  delete table twst
  ^^^^

  I det första exemplet visas att tabellen "y" saknas i systemet, i det andra att bearbetaren "7" saknas, och i det tredje att en stavningskontroll görs vid inmatning av tabellnamnet.

• Tillagd stöd för att kontrollera slave-gränssnittet genom att ange "meta sdif" eller "meta sdifname":

  … meta sdifname vrf1 …

• Tillagd stöd för bitvis förflyttning åt höger eller vänster. Till exempel, för att flytta en befintlig pakettagg åt vänster med 1 bit och sätta den minsta biten till 1:

  … meta mark set meta mark lshift 1 or 0x1 …

• Implementerat alternativet "-V" för att visa utökad versioninformation.

  # nft -V
  nftables v0.9.4 (Jive at Five)
  cli: readline
  json: yes
  minigmp: no
  libxtables: yes

• Alternativen för kommandoraden måste nu anges före kommandona. Till exempel, måste "nft -a list ruleset" anges, medan att köra "nft list ruleset -a" kommer att ge ett felmeddelande.

  Källa: opennet.ru