قبل بضعة أيام تم إصدار الإصدار الجديد من مرشح الحزمة nftables 0.9.3أيها تطوير كبديل لـ iptables و ip6table و arptables و ebtables نظرًا لتوحيد واجهات تصفية الحزمة لـ IPv4 و IPv6 و ARP وجسور الشبكة.
حزمة nftables يستخدم الأجزاء الهيكلية للبنية التحتية Netfilterمثل نظام تتبع الاتصال (نظام تتبع الاتصال) أو نظام التسجيل الفرعي. تم التخطيط أيضًا لطبقة توافق لترجمة قواعد جدار الحماية iptables الحالية إلى نظيراتها nftables.
حول Nftables
نفتابلز يتضمن مكونات مرشح الحزمة التي تعمل في مساحة المستخدم ، بينما على مستوى النواة ، النظام الفرعي nf_tables يوفر جزءًا من Linux kernel منذ الإصدار 3.13.
على مستوى النواة ، يتم توفير واجهة مشتركة فقط وهو مستقل عن بروتوكول معين ويوفر وظائف أساسية لاستخراج البيانات من الحزم وإجراء عمليات البيانات والتحكم في التدفق.
يتم تجميع منطق التصفية نفسه والمعالجات الخاصة بالبروتوكول في رمز بايت في مساحة المستخدم ، وبعد ذلك يتم تحميل هذا الرمز الثانوي في النواة باستخدام واجهة Netlink وتشغيله في جهاز ظاهري خاص يشبه BPF (مرشحات Berkeley Packet).
يتيح لك هذا الأسلوب تقليل حجم رمز التصفية الذي يتم تشغيله على مستوى kernel بشكل كبير والتخلص من جميع وظائف قاعدة التحليل ومنطق العمل مع البروتوكولات في مساحة المستخدم.
المزايا الرئيسية لـ nftables هي:
- العمارة المضمنة في الصميم
- صيغة تدمج أدوات IPtables في أداة سطر أوامر واحدة
- طبقة توافق تتيح استخدام قواعد قواعد IPtables.
- تركيب جديد سهل التعلم.
- عملية مبسطة لإضافة قواعد جدار الحماية.
- تحسين الإبلاغ عن الأخطاء.
- الحد من تكرار الكود.
- تحسين الأداء العام والاحتفاظ والتغييرات المتزايدة لتصفية القواعد.
ما الجديد في nftables 0.9.3؟
في هذا الإصدار الجديد من nftables 0.9.3 إضافة دعم لمطابقة الحزم مع مرور الوقت. مع هذا يمكنك تحديد فترات الوقت والتاريخ حيث سيتم تفعيل القاعدة وتهيئة التنشيط في أيام الأسبوع الفردية. تمت إضافة خيار "-T" جديد لعرض وقت الحقبة بالثواني.
آخر التغييرات التي تبرز هو دعم لاستعادة وحفظ علامات SELinux (secmark) ، نعم وكذلك دعم قوائم الخريطة synproxy، مما يسمح لك بتحديد أكثر من قاعدة واحدة في الخلفية.
من التغييرات الأخرى التي تتميز عن هذا الإصدار الجديد:
- القدرة على إزالة العناصر المحددة ديناميكيًا من قواعد معالجة الحزمة.
- دعم تعيين VLAN بواسطة المعرف والبروتوكول المحدد في البيانات الوصفية لواجهة جسر الشبكة
- الخيار "-t" ("–terse") لاستبعاد عناصر مجموعة عند عرض القواعد. عند تنفيذ "مجموعة قواعد قائمة nft -t" ، ستظهر:
- مجموعة قواعد قائمة Nft.
- القدرة على تحديد أكثر من جهاز في سلاسل netdev (تعمل مع kernel 5.5 فقط) لدمج قواعد التصفية الشائعة.
- القدرة على إضافة أوصاف نوع البيانات.
- القدرة على بناء واجهة CLI مع مكتبة Linenoise بدلاً من libreadline.
كيفية تثبيت الإصدار الجديد من nftables 0.9.3؟
للحصول على الإصدار الجديد في الوقت الحالي يمكن تجميع شفرة المصدر فقط على نظامك. على الرغم من أنه في غضون أيام ، ستكون الحزم الثنائية المجمعة بالفعل متاحة في توزيعات Linux المختلفة.
إلى جانب ذلك تم تضمين التغييرات اللازمة لتشغيل nftables 0.9.3 في فرع Linux kernel 5.5 المستقبلي. لذلك ، من أجل التحويل البرمجي ، يجب أن يكون لديك التبعيات التالية مثبتة:
يمكن تجميعها باستخدام:
./autogen.sh
./configure
make
make install
وللحصول على nftables 0.9.3 نقوم بتنزيله من الرابط التالي. ويتم التجميع بالأوامر التالية:
cd nftables
./autogen.sh
./configure
make
make install