قبل بضعة أيام تم الإعلان عن إطلاق الإصدار الجديد من مرشح الحزم "nftables 0.9.4"أن تم تطويره كبديل لـ iptables و ip6table و arptables و ebtables نظرًا لتوحيد واجهات تصفية الحزمة لـ IPv4 و IPv6 و ARP وجسور الشبكة.
حزمة nftables يتضمن مكونات مرشح الحزمة التي تعمل في مساحة المستخدم ، بينما على مستوى النواة ، يوفر النظام الفرعي nf_tables جزءًا من Linux kernel منذ الإصدار 3.13.
على المستوى الأساسي ، فقط يوفر واجهة مشتركة مستقلة عن البروتوكول محددة ويوفر وظائف أساسية لاستخراج البيانات من الحزم وإجراء عمليات البيانات والتحكم في التدفق.
ال قواعد التصفية المباشرة وبرامج التشغيل الخاصة بالبروتوكول يتم تجميعها في رمز بايت في مساحة المستخدم ، وبعد ذلك يتم تحميل هذا الرمز الثانوي في النواة باستخدام واجهة Netlink ويتم تنفيذه في النواة في جهاز ظاهري خاص يشبه BPF (مرشحات Berkeley Packet).
يمكن لمثل هذا النهج أن يقلل بشكل كبير من حجم كود التصفية الذي يعمل على مستوى النواة ويلغي جميع وظائف تحليل القواعد ومنطق العمل مع البروتوكولات في مساحة المستخدم.
الميزات الرئيسية الجديدة لـ Nftables 0.9.4
كل التغييرات اللازمة لنسخة nftables 0.9.4 للعمل مدرجة في فرع Linux kernel 5.6 تحديث وفيه دعم نطاقات في مجموعات "تسلسل وعناوين محددة وحزم منافذ تبسط التخصيص."
على سبيل المثال ، بالنسبة لمجموعة من "القوائم البيضاء" التي تكون عناصرها مجموعات ، فإن مواصفات مؤشر "النطاق" ستشير إلى أن المجموعة يمكن أن تتضمن نطاقات في الاتحاد.
القدرة المضافة على استخدام الصلات على روابط NAT، مما يسمح لك بتحديد العنوان والمنفذ عند تحديد تحويلات NAT بناءً على قوائم الخرائط أو المجموعات المسماة.
بالإضافة إلى ذلك ، فإن دعم تسريع الأجهزة مع إزالة بعض عمليات التصفية. التسريع يتم تمكينه من خلال الأداة المساعدة ethtool ("ethtool -K eth0 hw-tc-offload قيد التشغيل") ، وبعد ذلك يتم إطلاقه في nftables للسلسلة الرئيسية باستخدام علامة" offload ".
عند استخدام Linux kernel 5.6 ، يتم دعم تسريع الأجهزةe لمطابقة حقول الرأس والتحقق من الواجهة الواردة جنبًا إلى جنب مع حزم الاستلام والإفلات والمضاعفة (المزدوجة) وإعادة التوجيه (fwd).
في مجموعات الخرائط وقوائمها ، من الممكن استخدام التوجيه "typeof" ، الذي يحدد تنسيق العنصر عند المطابقة.
من التغييرات الأخرى التي تبرز من هذا الإصدار:
- تحسين الإبلاغ عن موقع الخطأ في القواعد.
- تمت إضافة دعم للتحقق من الواجهة التابعة عن طريق تحديد "ميتا sdif" أو «التعريف sdifname«
- دعم إضافي للتمرير إلى اليمين أو اليسار. على سبيل المثال ، لتغيير تسمية الحزمة الموجودة إلى اليسار بمقدار 1 بت وتعيين أصغر بت على 1.
- تم تنفيذ الخيار "-V" لعرض المعلومات. يجب الآن تحديد خيارات سطر الأوامر قبل الأوامر. على سبيل المثال ، يجب عليك تحديد «nft- مجموعة قواعد القائمة»وتنفيذ«مجموعة قواعد قائمة nft -a»سوف يولد خطأ.
كيفية تثبيت الإصدار الجديد من nftables 0.9.4؟
بالنسبة لأولئك الذين يرغبون في الحصول على الإصدار الجديد من nftables 0.9.4 في الوقت الحالي يمكن تجميع شفرة المصدر فقط على نظامك. على الرغم من أنه في غضون أيام ، ستكون الحزم الثنائية المجمعة بالفعل متاحة في توزيعات Linux المختلفة.
للترجمة ، يجب أن يكون لديك التبعيات التالية مثبتة:
يمكن تجميعها باستخدام:
./autogen.sh
./configure
make
make install
وللحصول على nftables 0.9.4 نقوم بتنزيله من الرابط التالي. ويتم التجميع بالأوامر التالية:
cd nftables
./autogen.sh
./configure
make
make install