Опубликован выпуск пакетного фильтра nftables 1.0.8, унифицирующего интерфейсы фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов (нацелен на замену iptables, ip6table, arptables и ebtables). В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. На уровне ядра предоставляется лишь общий интерфейс, не зависящий от конкретного протокола и предоставляющий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком.
Непосредственно правила фильтрации и специфичные для протоколов обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в ядре в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters). Подобный подход позволяет значительно сократить размер кода фильтрации, работающего на уровне ядра и вынести все функции разбора правил и логики работы с протоколами в пространство пользователя.
Основные изменения:
- Добавлена возможность установки меток “meta” и “ct” из других полей в правилах. Например, для создания метки “meta” на основе манипуляций с IP-адресом из заголовка DSCP можно использовать конструкции вида: … meta mark set ip dscp … meta mark set ip dscp and 0x0f … meta mark set ip dscp
- В оптимизаторе правил, вызываемом при указании опции “-o” (“–optimize”), улучшена упаковка выражений, связанных с трансляцией адресов (NAT). Например, правила ip saddr 10.141.11.0/24 masquerade ip saddr 10.141.13.0/24 masquerade tcp dport 83 redirect to :8083 tcp dport 84 redirect to :8084
будут объединены в ip saddr { 10.141.11.0/24, 10.141.13.0/24 } masquerade redirect to :tcp dport map { 83 : 8083, 84 : 8084 } - В анонимных map-списках реализована поддержка сохраняющих состояние (stateful) выражений, таких как счётчики: … meta mark { 0xa counter, 0xb counter } … ip saddr vmap { 127.0.0.1 counter : drop, * counter : accept }
- Появилась возможность упаковки наборов правил со сопоставленями ‘ct state’, без потери возможности подсчёта пакетов, например: … ct state vmap { established counter : accept, related counter : accept, invalid counter : drop }
- На системах с ядром Linux 6.5 добавлена поддержка сброса сохраняющих состояние выражений (обнуления счётчиков) в списках element, set и map: reset element t m ‘{ 1.2.3.4 }’ reset map ip t m reset set ip t m
- Упрощён синтаксис команды “reset”, позволяющей обнулять сохраняющую состояние информацию в правилах, такую как счётчики и состояние квот: reset rules # сброс всех счётчиков reset rules ip # сброс всех счётчиков для семейства ‘ip’ reset rules ip t # сброс всех счётчиков для таблицы ‘filter’ в семействе ‘ip’ reset rules ip t c # сброс всех счётчиков в цепочке ‘input’
При сбросе именованных объектов появилась возможность не указывать ключевое слово “table”:
reset counters reset counters ip reset counters ip filter
- Решена проблема с выводом некорректных сообщений об ошибках из-за отсутствия указания транспортного протокола при использовании map-выражений вида … redirect to :tcp dport map { 83 : 8083, 84 : 8084 }
(осуществляет перенаправление трафика на localhost, выбирая порт перенаправления в зависимости от целевого порта, например, пакеты к порту 83 будут перенаправлены на TCP-порт 8083 хоста localhost). - При попытке загрузки правил, размер которых превышает ограничение, применяемое в непривилегированном пространстве имён (например, при попытке загрузки списков GeoIP в контейнере), обеспечен вывод рекомендации по увеличению значения параметра “/proc/sys/net/core/wmem_max”.
- Разрешено обновление устройств в существующих цепочках netdev. # cat ruleset.nft table netdev x { chain y { type filter hook ingress devices = { eth0 } priority 0;
policy accept; } } # nft -f ruleset.nft # nft add chain netdev x y ‘{ devices = { eth1 }; }’ # nft list ruleset table netdev x { chain y { type filter hook ingress devices = { eth0, eth1 } priority
0; policy accept; } } # nft delete chain netdev x y ‘{ devices = { eth0 }; }’ # nft list ruleset table netdev x { chain y { type filter hook ingress devices = { eth1 } priority 0;
policy accept; } } - В выводе “nft list sets” по умолчанию включено отображение элементов списка. Для отключения показа элементов предложена опция “-t” (“–terse”).
- Улучшены диагностические сообщений при ошибках, вызванных неверным выбором типа данных и некорректным использованием jump/goto в map. # cat test.nft table ip x { map y { typeof ip saddr : verdict elements = { 1.2.3.4 : filter_server1 } } } # nft -f test.nft test.nft:4:26-39: Error: Could not parse netfilter verdict; did you mean
‘jump filter_server1’? elements = { 1.2.3.4 : filter_server1 } ^^^^^^^^^^^^^^ - В наборах для присоединений (concatenation, определённые связки адресов и портов, упрощающие сопоставление) реализована возможность указания констант. … update @s1 { ip saddr . 10.180.0.4 . 80 }
- Добавлена поддержка отображения комментариев при выводе таблиц и цепочек в формате JSON: # nft -j list ruleset {“nftables”: [{“metainfo”: {“version”: “1.0.7”, “release_name”: “Old Doc
Yak”, “json_schema_version”: 1}}, {“table”: {“family”: “inet”, “name”: “test3”,
“handle”: 4, “comment”: “this is a comment”}}]} - Добавлена возможность использования JSON при сопоставлении инкапсулированных и туннелируемых данных. Например, для сопоставления с полем dscp, инкапсулированным в заголовок vxlan, можно использовать следующую конструкцию: # udp dport 4789 vxlan ip dscp 0x02 [ { “match”: { “left”: { “payload”: { “field”: “dport”, “protocol”: “udp” } }, “op”: “==”, “right”: 4789 } }, { “match”: { “left”: { “payload”: { “field”: “dscp”, “protocol”: “ip”, “tunnel”: “vxlan” } }, “op”: “==”, “right”: 2 } } ]
- Добавлена поддержка JSON в выражении ‘last used’, показывающем когда последний раз использовался элемент правила или списка.
- В команде ‘nft list hooks’ обеспечен показ зарегистрированных обработчиков bpf.
- Запрещено одновременное использование параметров “-i” (“–interactive”) и “-f” (“–filename”).
- В Python-привязках применение distutils заменено на setuptools.