I Debian 11 föreslås det som standard att använda nftables och firewalld.

Arturo Borrero, utvecklare av Debian och medlem av Coreteam för projektet Netfilter, som ansvarar för Debian-paketen relaterade till nftables, iptables och netfilter, föreslog att översätta den följande betydande utgåvan av Debian 11 till att använda nftables som standard. Om förslaget godkänns, kommer paketen med iptables att klassas som valfria alternativ, som inte ingår i grundinstallationen.

Paketfiltren Nftables är anmärkningsvärt för sin enhetlighet i gränssnitt för paketfiltrering för IPv4, IPv6, ARP och nätverksbroar. Nftables erbjuder endast ett gemensamt gränssnitt på kärnnivå, oberoende av specifika protokoll och tillhandahåller grundläggande funktioner för att extrahera data från paket, utföra operationer på data och hantera flöden. Den specifika filtreringslogiken och protokollspecifika behandlarna kompileras till bytekod i användarutrymmet, som sedan laddas in i kärnan via Netlink-gränssnittet och körs i en speciell virtuell maskin, liknande BPF (Berkeley Packet Filters).

Som standard föreslås även att använda den dynamiska brandväggen firewalld i Debian 11, som är utformad som en kapsling ovanpå nftables. Firewalld körs som en bakgrundsprocess som gör det möjligt att dynamiskt ändra paketfiltreringsregler via DBus, utan behov av att starta om reglerna och utan att avbryta etablerade anslutningar. För att hantera brandväggen används verktyget firewall-cmd, som vid skapandet av regler baseras inte på IP-adresser, nätverksgränssnitt och portnummer, utan på tjänsternas namn (till exempel, för att öppna tillgång till SSH behöver man utföra «firewall-cmd —add —service=ssh», för att stänga SSH — «firewall-cmd —remove —service=ssh»).

Källa: opennet.ru