Utgåvan av paketfiltreringsprogrammet nftables 0.9.1

Efter ett års utveckling presenteras utgåvan av paketfilter nftables 0.9.1, som utvecklas som ett alternativ till iptables, ip6tables, arptables och ebtables genom att enhetliga gränssnitt för paketfiltering för IPv4, IPv6, ARP och nätverksbroar. Paketet nftables innehåller komponenter för paketfilter som arbetar i användarutrymmet, medan subsystemet nf_tables, som ingår i kärnan av Linux sedan version 3.13, ansvarar för arbetet på kärnnivå.

På kärnnivå tillhandahålls bara ett generellt gränssnitt, oberoende av specifika protokoll, och som erbjuder grundläggande funktioner för att extrahera data från paket, utföra operationer på data och styra flödet.
Filtreringslogiken och protokollspecificerade processorer kompileras till bytekod i användarutrymmet, varefter denna bytekod laddas in i kärnan via Netlink-gränssnittet och körs i en speciell virtuell maskin som liknar BPF (Berkeley Packet Filters). Denna metod möjliggör en betydande minskning av koden för filtrering som körs på kärnnivå och flyttar alla funktioner för regeltolkning och protokollhantering till användarutrymmet.

Huvudsakliga nyheter:

• Stöd för IPsec, vilket möjliggör koppling av tunneladresser till paket, IPsec-förfrågningsidentifierare och SPI-tagg (Security Parameter Index). Till exempel:

  … ipsec in ip saddr 192.168.1.0/24
  … ipsec in spi 1-65536

  Det är också möjligt att kontrollera trafikens väg genom IPsec-tunneln. Till exempel, för att blockera trafik som inte går via IPSec:

  … filter output rt ipsec missing drop

• Stöd för IGMP-protokollet (Internet Group Management Protocol). Till exempel, för att avvisa inkommande IGMP-meddelanden om grupptillhörighet kan du använda regeln:

  nft add rule netdev foo bar igmp type membership-query counter drop

• Möjlighet att använda variabler för att definiera övergångskedjor (jump / goto). Till exempel:

  define dest = ber
  add rule ip foo bar jump $dest

• Stöd för maskor för identifiering av operativsystem (OS Fingerprint) baserat på TTL-värden i rubriken. Till exempel, för att märka paket beroende på avsändarens OS kan kommandot användas:

  … meta mark set osf ttl skip name map { "Linux" : 0x1,
  "Windows" : 0x2,
  "MacOS" : 0x3,
  "unknown" : 0x0 }
  … osf ttl skip version "Linux:4.20"

• Möjlighet att korrelera ARP-adressen för avsändaren med IPv4-adressen för målsystemet. Till exempel, för att öka räknaren för ARP-paket som skickas från adressen 192.168.2.1 kan regeln användas:

  table arp x {
  chain y {
  type filter hook input priority filter; policy accept;
  arp saddr ip 192.168.2.1 counter packets 1 bytes 46
  }
  }

• Stöd för transparent vidarebefordran av förfrågningar genom proxy (tproxy). Till exempel för att vidarebefordra förfrågningar till port 80 till proxyport 8080:

  table ip x {
  chain y {
  typ filter krok prerouting prioritet -150; policy accept;
  tcp dport 80 tproxy till :8080
  }
  }

• Stöd för märkning av sockets med möjlighet till senare åtkomst av den fastställda etiketten via setsockopt() i läge SO_MARK. Till exempel:

  tabell inet x {
  chain y {
  typ filter krok prerouting prioritet -150; policy accept;
  tcp dport 8080 mark sätt socket mark
  }
  }

• Stöd för att ange textnamn på prioriteringar för kedjor. Till exempel:

  nft lägg till kedja ip x raw { typ filter krok prerouting prioritet raw; }
  nft lägg till kedja ip x filter { typ filter krok prerouting prioritet filter; }
  nft lägg till kedja ip x filter_later { typ filter krok prerouting prioritet filter + 10; }

• Stöd för SELinux-märkningar (Secmark). Till exempel, för att definiera märkningen "sshtag" i koppling till SELinux-kontexten kan du köra:

  nft lägg till secmark inet filter sshtag "system_u:object_r:ssh_server_packet_t:s0"

  Och sedan använda denna märkning i regler:

  nft lägg till regel inet filter input tcp dport 22 meta secmark sätt "sshtag"

  nft lägg till karta inet filter secmapping { typ inet_service : secmark; }
  nft lägg till element inet filter secmapping { 22 : "sshtag" }
  nft lägg till regel inet filter input meta secmark sätt tcp dport karta @secmapping

• Möjlighet att ange portar kopplade till protokollen i textformat, som de definieras i filen /etc/services. Till exempel:

  nft lägg till regel x y tcp dport "ssh"
  nft lista regler -l
  tabell x {
  chain y {
  …
  tcp dport "ssh"
  }
  }

• Möjlighet att kontrollera typ av nätverksgränssnitt. Till exempel:

  lägg till regel inet raw prerouting meta iifkind "vrf" accept

• Förbättrat stöd för dynamisk uppdatering av innehållet i uppsättningar (sets) genom att uttryckligen ange flaggan "dynamic". Till exempel, för att uppdatera uppsättningen "s" genom att lägga till källadressen och återställa posten om det inte finns några paket på 30 sekunder:

  lägg till tabell x
  lägg till uppsättning x s { typ ipv4_addr; storlek 128; timeout 30s; flaggor dynamiska; }
  lägg till kedja x y { typ filter krok input prioritet 0; }
  lägg till regel x y uppdatera @s { ip saddr }

• Möjlighet att ange ett separat villkor för tidpunkten för timeout. Till exempel, för att åsidosätta standardtimeouten för paket som kommer till port 8888 kan man ange:

  tabell ip filter {
  ct timeout agressive-tcp {
  protokoll tcp;
  l3proto ip;
  policy = {etablerad: 100, close_wait: 4, close: 4}
  }
  kedja output {
  …
  tcp dport 8888 ct timeout sätt "agressive-tcp"
  }
  }

• Stöd för NAT för inet-familjen:

  tabell inet nat {
  …
  ip6 daddr dead::2::1 dnat till dead:2::99
  }

• Förbättrade felsökningsverktyg för skrivfel:

  nft lägg till kedja filtre test

  Fel: Ingen sådan fil eller katalog; menade du tabell "filter" i familj ip?
  lägg till kedja filtre test
  ^^^^^^

• Möjlighet att ange namn på gränssnitt i uppsättningar (sets):

  set sc {
  typ inet_service . ifname
  element = { "ssh" . "eth0" }
  }

• Uppdaterad syntax för flowtable-regler:

  nft lägg till tabell x
  nft lägg till flowtable x ft { krok ingress prioritet 0; enheter = { eth0, wlan0 }; }
  …
  nft lägg till regel x vidarebefordra ip protokoll { tcp, udp } flow lägg till @ft

• Förbättrat stöd för JSON.

Källa: opennet.ru