Utfärdandet av paketfilter nftables 1.0.2

Utgåvan av paketfilter nftables 1.0.2 har publicerats och enhetligar gränssnitten för paketfiltreringen för IPv4, IPv6, ARP och nätverksbroar (avser att ersätta iptables, ip6table, arptables och ebtables). De nödvändiga ändringarna för att aktivera nftables 1.0.2 har inkluderats i kärnan Linux 5.17-rc.

Paketet nftables innehåller komponenter för paketfilter som arbetar i användarrummet, medan nf_tables-systemet på kärnnivå tillhandahåller funktionen, vilket har varit en del av Linux-kärnan sedan version 3.13. På kärnnivå tillhandahålls endast ett allmänt gränssnitt, oberoende av protokoll, som ger grundläggande funktioner för att extrahera data från paket, utföra operationer med data och styra flödet.

Själva filtreringsreglerna och protokollspecifika hanterare kompileras till bytekod i användarrummet, som sedan laddas in i kärnan via Netlink-gränssnittet och utförs i kärnan i en speciell en virtuell maskin, liknande BPF (Berkeley Packet Filters). Denna metod gör det möjligt att avsevärt minska storleken på den filterkod som körs på kärnnivå och flytta alla funktioner för tolkning av regler och logik som rör protokoll till användarrummet.

Huvudsakliga nyheter:

• En ny optimeringsläge för regler har lagts till, aktiverat med det nya alternativet "-o" ("--optimize"), vilket kan kombineras med alternativet "--check" för att kontrollera och optimera ändringar i regelset-filen utan att ladda upp den faktiska filen. Optimering möjliggör sammanslagning av liknande regler, som till exempel: meta iifname eth1 ip saddr 1.1.1.1 ip daddr 2.2.2.3 accept meta iifname eth1 ip saddr 1.1.1.2 ip daddr 2.2.2.5 accept ip saddr 1.1.1.1 ip daddr 2.2.2.2 accept ip saddr 2.2.2.2 ip daddr 3.3.3.3 drop

  kommer att slås samman till meta iifname . ip saddr . ip daddr { eth1 . 1.1.1.1 . 2.2.2.3, eth1 . 1.1.1.2 . 2.2.2.5 } accept ip saddr . ip daddr vmap { 1.1.1.1 . 2.2.2.2 : accept, 2.2.2.2 . 3.3.3.3 : drop }

  Exempel på användning: # nft -c -o -f ruleset.test Sammanfoga: ruleset.nft:16:3-37: ip daddr 192.168.0.1 counter accept ruleset.nft:17:3-37: ip daddr 192.168.0.2 counter accept ruleset.nft:18:3-37: ip daddr 192.168.0.3 counter accept till: ip daddr { 192.168.0.1, 192.168.0.2, 192.168.0.3 } counter packets 0 bytes 0 accept

• I set-listor har möjligheten att specificera ip- och tcp-alternativ samt sctp-chunkar genomförts: set s5 { typeof ip option ra value elements = { 1, 1024 } } set s7 { typeof sctp chunk init num-inbound-streams elements = { 1, 4 } } chain c5 { ip option ra value @s5 accept } chain c7 { sctp chunk init num-inbound-streams @s7 accept }
• Stöd för TCP-alternativ som fastopen, md5sig och mptcp har lagts till.
• Stöd för att använda subtype mp-tcp i matchningar har lagts till: tcp option mptcp subtype 1
• Koden för filtrering på kärnsidan har förbättrats.
• Fullständigt stöd för JSON-formatet har genomförts för flowtable.
• Möjlighet att använda åtgärden "reject" i Ethernet-rammatchningsoperationer har tillhandahållits. ether saddr aa:bb:cc:dd:ee:ff ip daddr 192.168.0.1 reject

Källa: opennet.ru