Ursprung av den paketfilterutgåvan nftables 1.0.5

Utgåvan av paketfilteret nftables 1.0.5 har publicerats, vilket enhetligar gränssnitten för paketfiltrering för IPv4, IPv6, ARP och nätverksbryggor (syftar till att ersätta iptables, ip6tables, arptables och ebtables). Samtidigt har den relaterade biblioteket libnftnl 1.2.3 publicerats, som erbjuder ett låg-nivå API för interaktion med nf_tables-systemet.

Paketet nftables innehåller komponenter för paketfilter som arbetar i användarrummet, medan nf_tables-systemet på kärnnivå tillhandahåller funktionen, vilket har varit en del av Linux-kärnan sedan version 3.13. På kärnnivå tillhandahålls endast ett allmänt gränssnitt, oberoende av protokoll, som ger grundläggande funktioner för att extrahera data från paket, utföra operationer med data och styra flödet.

Själva filtreringsreglerna och protokollspecifika hanterare kompileras till bytekod i användarrummet, som sedan laddas in i kärnan via Netlink-gränssnittet och utförs i kärnan i en speciell en virtuell maskin, liknande BPF (Berkeley Packet Filters). Denna metod gör det möjligt att avsevärt minska storleken på den filterkod som körs på kärnnivå och flytta alla funktioner för tolkning av regler och logik som rör protokoll till användarrummet.

Huvudsakliga förändringar:

• I regeloptimeraren, som anropas när alternativet "-o/--optimize" anges, har problem med att kombinera regler, mapp- och set-listor åtgärdats. # cat ruleset.nft table ip x { chain y { type nat hook postrouting priority srcnat; policy drop; ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ip saddr 2.2.2.2 tcp dport 8001 snat to 5.5.5.5:90 } } # nft -o -c -f ruleset.nft Sammanfogning: ruleset.nft:4:3-52: ip saddr 1.1.1.1 tcp dport 8000 snat to 4.4.4.4:80 ruleset.nft:5:3-52: ip saddr 2.2.2.2 tcp dport 8001 snat to 5.5.5.5:90 till: snat to ip saddr . tcp dport mapp { 1.1.1.1 . 8000 : 4.4.4.4 . 80, 2.2.2.2 . 8001 : 5.5.5.5 . 90 }
• Vid sammanslagning av ethernet- och vlan-element säkerställs definitionen av en dynamisk set-lista, som fylls baserat på paketvägarna. add table netdev x add chain netdev x y { type filter hook ingress device enp0s25 priority 0; } add set netdev x macset { typeof ether daddr . vlan id; flags dynamic,timeout; } add rule netdev x y update @macset { ether daddr . vlan id timeout 60s } add rule netdev x y ether saddr . vlan id { 0a:0b:0c:0d:0e:0f . 42, 0a:0b:0c:0d:0e:0f . 4095 } counter accept
• Visningen av regler med map-listor som innehåller masker i gränssnittens namn har upprättats. table inet filter { chain INPUT { iifname vmap { "eth0" : jump input_lan, "wg*" : jump input_vpn } } chain input_lan {} chain input_vpn {} }
• Regressiva förändringar som ledde till felaktig lexikalisk analys av korrekta regler har åtgärdats.
• Problem med långsam behandling och automatisk sammanslagning av stora listor med element som definierar värdeintervall har lösts.
• Kraschen vid tillägg av element till en ogiltig set-lista har åtgärdats.

Källa: opennet.ru