Släpp av paketfiltret nftables 0.9.3

Publicerad utgivning av paketfilter nftables 0.9.3, som utvecklas som ett alternativ till iptables, ip6tables, arptables och ebtables genom att enhetliggöra pakethanteringsgränssnitten för IPv4, IPv6, ARP och nätverksbroar. I paketet nftables ingår komponenter för pakethantering som arbetar i användarutrymmet, medan kärnnivåns arbete tillhandahålls av nf_tables-subsystemet, som ingår i Linux-kärnan sedan version 3.13. Nödvändiga ändringar för nftables 0.9.3 är inkluderade i den kommande kärnversionen 5.5.

I kärnnivån tillhandahålls bara ett allmänt gränssnitt som inte är beroende av ett specifikt protokoll och som erbjuder grundläggande funktioner för att extrahera data från paket, utföra operationer med data och hantera flöden. Själva filtreringslogiken och protokollspecifika bearbetare kompileras till bytekod i användarrummet, vilken laddas i kärnan via Netlink-gränssnittet och körs i en speciell virtuell maskin som påminner om BPF (Berkeley Packet Filters). Denna metod möjliggör en betydande minskning av kodstorleken för filtrering som körs på kärnnivå och flyttar alla funktioner för regelanalys och protokollhantering till användarrummet.

Huvudsakliga nyheter:

• Stöd för tidsbaserad paketmatchning. Det går att definiera både tidsintervall och datum när regeln ska aktiveras, samt justera aktiveringen för specifika veckodagar. En ny option "-T" har också lagts till för att visa epoch-tid i sekunder.

  meta time \»2019-12-24 16:00\» — \»2020-01-02 7:00\»
  meta hour \»17:00\» — \»19:00\»
  meta day \»Fre\»

• Stöd för återställning och bevarande av SELinux-etiketter (secmark).

  ct secmark set meta secmark
  meta secmark set ct secmark

• Stöd för map-listor synproxy, vilket möjliggör att definiera mer än en regel för backend.

  table ip foo {
  synproxy https-synproxy {
  mss 1460
  wscale 7
  timestamp sack-perm
  }

  synproxy other-synproxy {
  mss 1460
  wscale 5
  }

  chain pre {
  typ filter hook prerouting prioritet raw; policy accept;
  tcp dport 8888 tcp flags syn notrack
  }

  chain bar {
  typ filter hook forward prioritet filter; policy accept;
  ct state invalid,untracked synproxy name ip saddr map { 192.168.1.0/24 : «https-synproxy», 192.168.2.0/24 : «other-synproxy» }
  }
  }

• Möjlighet att dynamiskt ta bort element från set-grupper i pakethanteringsregler.

  nft add rule … delete @set5 { ip6 saddr . ip6 daddr }

• Stöd för att matcha VLAN enligt identifierare och protokoll, definierade i metadata för nätverksbron;

  meta ibrpvid 100
  meta ibrvproto vlan

• Optionen "-t" ("—terse") för att exkludera element från set-grupper vid visning av regler. När "nft -t list ruleset" körs kommer följande att skrivas ut:

  table ip x {
  set y {
  type ipv4_addr
  }
  }

  Och vid "nft list ruleset"

  table ip x {
  set y {
  type ipv4_addr
  elements = { 192.168.10.2, 192.168.20.1,
  192.168.4.4, 192.168.2.34 }
  }
  }

• Möjlighet att ange mer än en enhet i netdev-kedjor (fungerar endast med kärna 5.5) för att kombinera typiska filtreringsregler.

  add table netdev x
  add chain netdev x y { \
  type filter hook ingress devices = { eth0, eth1 } priority 0;
  }

• Möjlighet att lägga till beskrivningar av datatyper.

  # nft describe ipv4_addr
  datatype ipv4_addr (IPv4-adress) (basetype integer), 32 bitar

• Möjlighet att bygga CLI-gränssnittet med linenoise-biblioteket istället för libreadline.

  ./configure —with-cli=linenoise

Källa: opennet.ru