nftables–DerneuePaketﬁlterim Linux-Kernel · nftables–DerneuePaketﬁlterim Linux-Kernel...

nftables – Der neue Paketfilter imLinux-KernelCLT 2014 15. März 2014

Michael SteinfurthLinux/Unix Consultant & Trainer

B1 Systems GmbHsteinfurth@b1-systems.de

B1 Systems GmbH - Linux/Open Source Consulting, Training, Support & Development

Agenda

Vorstellung B1 Systems

nftables – Einführung

Funktionsweise

Was kann nftables?

Beispiel – Praxis

B1 Systems GmbHnftables – Der neue Paketfilter im

Linux-Kernel 2 / 34

Vorstellung B1 Systems

gegründet 2004primär Linux/Open Source-Themennational & international tätigüber 60 Mitarbeiterunabhängig von Soft- und Hardware-HerstellernLeistungsangebot:

Beratung & ConsultingSupportEntwicklungTrainingBetriebLösungen

dezentrale Strukturen

Linux-Kernel 3 / 34

SchwerpunkteVirtualisierung (XEN, KVM & RHEV)Systemmanagement (Spacewalk, Red Hat Satellite, SUSEManager)Konfigurationsmanagement (Puppet & Chef)Monitoring (Nagios & Icinga)IaaS Cloud (OpenStack & SUSE Cloud)Hochverfügbarkeit (Pacemaker)Shared Storage (GPFS, OCFS2, DRBD & CEPH)Dateiaustausch (ownCloud)Paketierung (Open Build Service)Administratoren oder Entwickler zur Unterstützung des Teamsvor Ort

Linux-Kernel 4 / 34

nftables – Einführung

Linux-Kernel 5 / 34

Was ist nftables?

moderner Paketfilter im Linux-Kerneldas Programm im Nutzerbereich (User Space)zustandsgesteuertkeine Veränderung am Netfilter- & Connection-Tracking-Systemiptables-Ersatz?

Ja! wenn ausgereift und stabil

Linux-Kernel 6 / 34

Was ist nftables?

Linux-Kernel 6 / 34

Was ist nftables?

Linux-Kernel 6 / 34

Was ist nftables?

Linux-Kernel 6 / 34

Was ist nftables?

Linux-Kernel 6 / 34

Was ist nftables?

Linux-Kernel 6 / 34

Geschichte

NFWS 2008: P. McHardy “Nftables: an iptables rewrite”18. März 2009: Linux-netdev “First release of nftables”Kommentar am 20. März 2010: in ArbeitStillstand bis 2012die Firma Astaro sponsort WeiterentwicklungAufnahmeantrag in den Hauptentwicklungszweig19. Januar Release 3.13 Einzug in den Linux-Kernel

Linux-Kernel 7 / 34

Geschichte

Linux-Kernel 7 / 34

Geschichte

Linux-Kernel 7 / 34

Geschichte

Linux-Kernel 7 / 34

Geschichte

Linux-Kernel 7 / 34

Geschichte

Linux-Kernel 7 / 34

Geschichte

Linux-Kernel 7 / 34

Warum nftables und nicht mehr iptables?

bisher: Binäraustausch bei Regeländerungennicht inkrementell, kompletter RegelsatzKommunikation mit Kernel über raw Sockets↪→ je mehr Regeln, desto höhere Austauschzeit

Erweiterungen im Userspace & Kernelspacepro Funktion einmal im Kernel und einmal im UserspaceErweiterungen zweifacher Entwicklungsaufwandmehrere Erweiterungen pro Anfrage↪→ mehr Leistungsanforderungen

keine “offizielle Bilbiothek”redundanter Quelltext unter verschiedenen Modulen

Linux-Kernel 8 / 34

leichte Leistungseinbußen auch ohne Regelngeladene Moduleverbunden mit Netfilter

eigene Programme für unterschiedliche Protokollebenenebtables, arptables, iptables, ip6tables

schwierig in “modernen” Netzenverschiedene IP-Adressen aus verschiedenen Bereichen1-zu-1 Beschränkungen↪→ viele Regeln

ungünstig für wechselnde virtuelle Maschinen (Cloud)

Linux-Kernel 9 / 34

Funktionsweise

Linux-Kernel 10 / 34

Übersicht

nft, das Administrationswerkzeug

Beispiel nft# nft list table filter

Administrator benutzt nft zur Steuerung im Kernelaktivieren, auslesen, konfigurieren, löschenBefehlszeilenprogramm mit ParameternRegeln ohne Optionsparameter (-o, --option)Optionen:

[-i] interaktive[-f] von Datei lesen[-n] numerisch (mehrfach: nn, nnn)[-a] mehr Information (Regel-“Handle”)

Grammatik mit Stichworten/Symbolen (token)Scanner erfasst TOKENZusammenarbeit mit einem ParserUmsetzung der kontext-freien Grammatik in FunktionenScanner in flex geschriebenParser in GNU bison

Übergang libnftnl zum Kernel

“Verpacken” der Regeln in Netlink-Nachrichtenbinär, keine Text-Stichwortelibmnl kommuniziert mit Kernel über nfnetlinkKernel lauscht auf netlink-Nachrichtengenerischen Operationen und Werte aus Nachricht↪→ Zustandsautomat

Zustandsautomat nach BPF

4 Register + versch. Filter-Befehlssätze

netlink nachrichten Inhaltip filter input 0 0

[ payload load 4b @ network header + 12 => reg 1 ][ cmp eq reg 1 0x0a0a0a0a ][ immediate reg 0 accept ]

nft add rule ip filter input ip saddr 10.10.10.10 accept

Zustandsautomat nach BPF

4 Register + versch. Filter-Befehlssätze

netlink nachrichten Inhaltip filter input 0 0

[ payload load 4b @ network header + 12 => reg 1 ][ cmp eq reg 1 0x0a0a0a0a ][ immediate reg 0 accept ]

nft add rule ip filter input ip saddr 10.10.10.10 accept

Erklärung payload

payload load 4b @ network header + 12

Erklärung payload

Was kann nftables?

Grundlegende Funktionen

Tabellenbase-KettenNetfilter HooksKettenRegeln

Tabellen

Tabelle erstellen/anzeigen/leeren/löschen# nft add table ip filter# nft list table ip filter# nft flush table ip filter# nft delete table ip filter

Tabellenname frei wählbarProtokollarten ip,ip6,arp,bridge,(inet)

gibt es nicht automatisch!

base-Ketten

registriert an netfilter hooksprerouting,input,forward,output,postrouting

type-basiert:filter, nat, route (ähnl. mangle)

Prioritätkeine “Default Policy”!

Erstellen einer base-Kette# nft add chain \filter input { type filter hook input priority 0 \; }

base-Ketten

Netfilter Hooks

Ketten

Nutzer-Ketten (non-base) wie in iptables

Kette leeren → löschenKetten löschen → Tabellen löschen

Kette erstellen/leeren/löschen# nft add chain ip filter Kette1# nft flush chain ip filter Kette1# nft delete chain ip filter Kette1

Ketten

Regeln

verschiedene Parameter hintereinanderAktionen (verdict): accept, counter, log, jump,reject, drop

Regel erstellen und löschen# nft add rule filter input saddr 10.10.10.1 count accept# nft add rule myfilter output ip saddr 10.10.10.0/24 \

ip daddr 10.10.20.0/24 log accept# nft add rule filter input tcp dport http counter# nft add rule ip filter input saddr 10.10.10.1 jump Kette1# nft delete rule ip filter input handle 1

Regeln

verschiedene Parameter hintereinanderAktionen (verdict): accept, counter, log, jump,reject, drop

Regel erstellen und löschen# nft add rule filter input saddr 10.10.10.1 count accept# nft add rule myfilter output ip saddr 10.10.10.0/24 \

ip daddr 10.10.20.0/24 log accept# nft add rule filter input tcp dport http counter# nft add rule ip filter input saddr 10.10.10.1 jump Kette1# nft delete rule ip filter input handle 1

Allgemeines

Datei: myrulestable ip myfilter {

chain input {type filter hook input priority 0;ip saddr 10.10.10.1 acceptip saddr 10.10.10.0/24 log drop

chain forward {type filter hook forward priority 0;

chain output {type filter hook output priority 0;

Erweiterte Funktionen

SetsDictionaries/Mapsspezielle MapsIntervalle

Datensätze werden überprüftz.B. nicht für jede IP-Adresse eine Regelanonyme und namensbasierteanonyme Sets nicht veränderbar

Anonyme Sets# nft add rule myfilter input tcp dport { 80, 443 } accept# nft add rule myfilter input ip saddr \

{ 10.10.10.1, 10.10.20.1 } accept

namensbasierte Sets können verändert werden(mehrfacher) Zugriff über RegelnZugriff durch Regel unterbindet Löschenverschieden Typen (IP(6)-Adressen, Ports, Protocol, Marks,IF-Indexe)

Namensbasierte Sets# nft add set myfilter webserver { type ipv4_address\; }# nft add element myfilter \

webserver { 10.10.80.1, 10.10.81.2 }# nft list set myfilter webserver# nft add rule myfilter input ip daddr @webserver accept# nft delete set myfilter webserver

Dictionaries/Maps

intern: spezielle Setsnamensbasiert und anonym

anonym# nft add rule myfilter input ip protocol \vmap {udp : jump udpkette, tcp : jump tcpkette, icmp : accept

Dictionaries/Maps

intern: spezielle Setsnamensbasiert und anonym

anonym# nft add rule myfilter input ip protocol \vmap {udp : jump udpkette, tcp : jump tcpkette, icmp : accept

Dictionaries/Maps

Befehle# nft add map myfilter \

v_map { type ipv4_address : verdict\; }# nft add element myfilter \

v_map { 10.10.10.20 : drop, 10.10.10.40 : drop }

Konfigurationausgabe/Dateimap v_map {

type ipv4_address : verdictelements = { 10.10.10.40 : drop, 10.10.10.20 : drop }

Spezielle Maps

Namensbasierte Konfigurationmap nat_map {

type ifindex : ipv4_addresselements = { eth0 : 10.10.10.1, eth1 : 10.10.20.2 }

}map jump_map {

type ipv4_address : verdictelements = { 10.10.10.1 : jump Kette1 }

IntervalleBereiche, die nicht durch Netzmasken abgedeckt werdendirekt, indirekt als Liste und in Maps

Intervalle# nft add rule myfilter input ip daddr \

10.10.10.1-10.10.10.25 drop# nft add rule myfilter input ip daddr \

{10.10.10.1-10.10.10.25,\10.10.10.250-10.10.10.255

} drop# nft add rule ip filter forward ip daddr vmap \

{10.10.10.1-10.10.10.25 : jump webserver,10.10.10.100-10.10.10.111 : jump dbserver

} drop

IntervalleBereiche, die nicht durch Netzmasken abgedeckt werdendirekt, indirekt als Liste und in Maps

Intervalle# nft add rule myfilter input ip daddr \

10.10.10.1-10.10.10.25 drop# nft add rule myfilter input ip daddr \

{10.10.10.1-10.10.10.25,\10.10.10.250-10.10.10.255

} drop# nft add rule ip filter forward ip daddr vmap \

{10.10.10.1-10.10.10.25 : jump webserver,10.10.10.100-10.10.10.111 : jump dbserver

} drop

Beispiel – Praxis

Quellen

http://lwn.net/Articles/324251/ – Ankündigung nftableshttp://home.regit.org/* – Eric Leblond (Core Entwickler)slideshare.net – Kernel-recipes-2013 – nftables Vortrag –Eric Leblondhttp://people.netfilter.org/wiki-nftables/

Vielen Dank für die Aufmerksamkeit!Bei weiteren Fragen wenden Sie sich bitte an info@b1-systems.de

oder +49 (0)8457 - 931096

B1 Systems GmbH - Linux/Open Source Consulting, Training, Support & Development

nftables–DerneuePaketﬁlterim Linux-Kernel · nftables–DerneuePaketﬁlterim Linux-Kernel...

Documents

Onebox™ - IMX53 Installation and Test Procedure Manual ......The Linux kernel running on the Linux host will assign a device node to the SD/MMC card reader. The kernel might decide

Hinweise zur Debian-Veröffentlichung Version 10 (Buster ... · Linux-Kernel-Image 4.9-Serie 4.19-Serie LLVM/Clang-Werkzeugkette 3.7 6.0.1und7.0.1(Standardversi-on) MariaDB 10.1 10.3

Benedikt Huber - ti.tuwien.ac.at · I Kernel 2.6.38.7, Debian 5.0.6, Lenny I User Mode Linux (UML) Umgebung im TI-Lab installiert I virtuelle Maschine: Linux wird als User-Prozess

OSUE Linux Kernel Modul Bonusbeispiel · OSUE Linux Kernel Modul Bonusbeispiel Frömel Der Linux Kernel Kernel Modul Appplication vs. Kernel Modul Device Drivers Allgemeines I Linux

Linux Kernel Driver Tutorial - [email protected]

Linux-Vortrag Linux-Geschichte Kernel und OS Distributionen und Paketmanager (secure) Shells Virtualisierung (OS + Speicher) Linux in der Arbeitswelt

UCS 4.3 Release Notes - software-univention.deMehr als 20.000 Source Pakete wurden aktualisiert und zum Teil an die Bedürfnisse der Nutzer von UCS angepasst. Als Linux Kernel wird

Stefan Warmuth - luga.de · sdcc Einleitung USB für Einsteiger USB allgemein Linux und USB Kernel Module Host usbdevfs hotplug USB Geräte HID Scanner Drucker Massenspeicher Digital

Sven Krohlas, Linux Slab AllocatorSeite 1 Der Slab Allocator Vortrag im Rahmen des Proseminars Linux Kernel Internals Uni Karlsruhe WS 2004/2005 Autor:

Prozesse und Prozessverwaltung im Linux-Kerneldoto/pdf/ps-linux_internals... · Einf¨uhrung Prozessverwaltung Prozesswechsel Prozesse erzeugen Kernel-Threads Prozesse zerst¨oren

NFTables { Wieso, Weshalb, Warum · Net lter-Framework iptables nftables Fazit Begri sde nitionen skb: "socketbu er", Kernel-Datenstruktur, repr asentiert ein Paket iptables, ip6tables,

Kernel Programmierung unter Linux - lab4inf.fh … · • Sind die Sourcenübertragen werden sie mit dem Befehl tarxfz linux_cross.tar.gz entpackt. • Mit uname–a ermittelt man

Aktuelle Entwicklungen beim Linux-Kernel Leemhuis... · 3.19: Ipvlan. IOW: Container verbinden. ähnlich macvlan, aber multiplexing auf höherem Layer . 3.18: Data Center TCP (DCTCP)

Framework für Android/MCU-basierte Smart Systemsedoc.sub.uni-hamburg.de/haw/volltexte/2018/4159/pdf/BA_WassilijBeaucamp.pdf · Android ist, bis auf den Linux-Kernel, vollkommen quello˛en

Embedded Software Engineeringfiles.vogel.de/vogelonline/vogelonline/issues/ep/2016/642.pdf · ©ARM Ltd |AD468 i.MX7 ARMCortex-A7 ARMCortex-M4 Linux kernel RTOS system Linux application

Linux Kernel Auditing - Heinlein Support GmbH · Bonn, IIS, B. Knust Seite 2 Kernel Auditing SLAC 2016 Benjamin Knust Unix / Linux Engineer 8 Jahre Linux Consulting 3 Jahre Unix

Memory ... · Stuktur der Linux-Sourcen. ... CPU einige Zustandsdaten auf den Stack und führt eine Interrupt-Routine aus (siehe…/arch/ i386/kernel/irq.c): IRQ1_interrupt:

Wellington Figueira da Silva - Novatec Editora · 1.3.2 LXC – Linux Containers e o Docker Os LXC (Linux Containers) existem desde o kernel 2.6.26, que foi dis-tribuído a partir

OSUE Linux Kernel Modul Bonusbeispiel@download/file/osue-9_bonus_task.pdfOSUE Linux Kernel Modul Bonusbeispiel Christian Hirsch Motivation Linux ist erweiterbar – beispielsweise

CNC 8055 TC - Fagor Automation · El kernel de linux V2.4.4. El cargador de linux ppcboot V1.1.3. Si usted desea que le sea envi ada una copia en CD de este código fuente, ... Cómo