{"id":1758,"date":"2020-09-23T14:24:01","date_gmt":"2020-09-23T12:24:01","guid":{"rendered":"http:\/\/clark.tipistrani.it\/?p=1758"},"modified":"2021-05-28T15:22:08","modified_gmt":"2021-05-28T13:22:08","slug":"nftables","status":"publish","type":"post","link":"http:\/\/clark.tipistrani.it\/?p=1758","title":{"rendered":"NFTABLES"},"content":{"rendered":"

Nelle nuove distribuzioni Debian e derivate (ormai \u00e8 chiaro anche ai sassi che sia a livello personale che aziendale uso Devuan) il programma di default per il packet filtering e’ nftables<\/a><\/p>\n

Quindi un po perch\u00e9 anche se non immediatamente il supporto a iptables diminuir\u00e0 e quindi cesser\u00e0, un po perch\u00e9 stando alla documentazione nftables \u00e8 molto pi\u00f9 performante del suo predecessore, un po perch\u00e9 sono curioso come una scimmia e, come dicono i miei Amici trentini ho una speciale attitudine a portare il qlo nelle pedate, mi sono messo a studiare nftables.<\/p>\n

la logica di creazione su nftables \u00e8 la seguente:
\ntabelle che contengono catene che contengono regole<\/p>\n

table
\n|
\nchains
\n|
\nrules<\/p>\n

su nftables posso creare tabelle e catene coi nomi che voglio il comando \u00e8 nft add
\nnft add table\u00a0\u00a0 inet noddos
\ncomando oggetto tipo nome
\nil tipo e’ il namespaces della famiglia indirizzi che sono
\narp (era arptables)
\nbridge (era ebtables)
\ninet (=ip+ipv6)
\nip (ipv4)
\nip6 (ipv6)
\nnetdev Consente il filtraggio anticipato del traffico, prima che raggiunga altri filtri (sotto il livello 3 sul modello OSI) e per esempio questo metodo \u00e8 molto efficiente contro il DDoS<\/p>\n

nft add chain inet noddos ingress { tipo filter hook ingress priority 0 \\; }
\ncome sopra add chain a noddos(nome tabella) ingress(nome chain)
\nil tipo puo’ essere
\nfilter
\nroute
\nnat<\/p>\n

lo hook si riferisce a uno stadio specifico del pacchetto mentre attraversa il kernel e puo’ essere:
\nper le famiglie ip ip6 inet
\nprerouting
\ninput
\nforward
\noutput
\npostrouting
\nper la famiglia arp puo’ essere:
\ninput
\noutput
\nper la famiglia bridge sono gli stessi di ip\/ip6\/inet
\nper la famiglia netdev l’unico hook \u00e8 ingress.<\/p>\n

Nftables ha una sua grammatica, i creatori di nftables sconsigliano l’uso come in passato per iptables di script in bash perch\u00e9 rompono l’atomicit\u00e0 delle regole.
\nDetto cos\u00ec non vuole dire un piffero, e ci ho messo un po a capire cosa intendessero poi alla fine ci sono arrivato leggendo attentamente il wiki di cui riporto qui sotto una maccheronica traduzione:
\n“Con iptables era comune utilizzare uno script bash composto da pi\u00f9 comandi iptables per configurare un firewall.<\/span> Questo non \u00e8 ottimale perch\u00e9 non \u00e8 atomico, vale a dire che durante le poche frazioni di secondo che il tuo script bash impiega per eseguire il tuo firewall \u00e8 in uno stato parzialmente configurato.<\/span> Nftables introduce la sostituzione atomica delle regole con l’opzione -f.<\/span> Questo \u00e8 diverso dagli script bash perch\u00e9 nftables legger\u00e0 tutti i file di configurazione inclusi, creer\u00e0 l’oggetto di configurazione in memoria insieme alla configurazione esistente, e quindi in un’operazione atomica scambia la vecchia configurazione con quella nuova, il che significa che non c’\u00e8 momento in cui<\/span> il firewall \u00e8 parzialmente configurato.”<\/span><\/span>
\nOnestamente la mia preparazione non \u00e8 cosi grande da capire appieno e perfettamente le implicazioni di tutto ci\u00f2, intuitivamente capisco che uno stato totalmente\u00a0 configurato \u00e8 preferibile a uno parzialmente\u00a0 configurato, quello che mi sfugge anche perch\u00e9 non ho trovato letteratura in materia \u00e8 per quanto tempo il sistema resta in condizione di semi configurazione, credo che il fattore tempo sia importante, se sono millisecondi \u00e8 un conto se sono secondi un altro, per\u00f2 la logica mi dice: se della gente che fa questo di mestiere e che crea degli standard de facto dice che \u00e8 cos\u00ec tu fai quello che ti dicono che non sbagli mai.
\nTra parentesi ho avuto modo di interagire direttamente con Pablo Neira Ayuso capo del team di netfilter sulla ml netfilter e ho trovato una persona squisita a dire poco.
\nLo strumento per verificare la correttezza della grammatica e’ nft — (sono 2 meno)check –(sono 2 meno)file \/path\/nome_del_file
\nOltre alle mie configurazioni ho inserito anche uno script in perl che fa download di liste di indirizzi crea dei set e li nega.
\nparametri del kernel da passare all’avvio<\/a>
\nale401.sh<\/a>
\nvars.sh<\/a>
\ndefinitions<\/a>
\nale.nft<\/a>
\nale2.nft<\/a>
\nblocklist.pl<\/a>
\nlogging<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Nelle nuove distribuzioni Debian e derivate (ormai \u00e8 chiaro anche ai sassi che sia a livello personale che aziendale uso Devuan) il programma di default per il packet filtering e’ nftables Quindi un po perch\u00e9 anche se non immediatamente il supporto a iptables diminuir\u00e0 e quindi cesser\u00e0, un po perch\u00e9 stando alla documentazione nftables \u00e8 […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[109,8,14,6],"tags":[180,108],"class_list":["post-1758","post","type-post","status-publish","format-standard","hentry","category-firewall","category-linux","category-networking","category-work","tag-nftables","tag-packet-filtering"],"_links":{"self":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/1758","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1758"}],"version-history":[{"count":17,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/1758\/revisions"}],"predecessor-version":[{"id":1934,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=\/wp\/v2\/posts\/1758\/revisions\/1934"}],"wp:attachment":[{"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1758"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1758"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/clark.tipistrani.it\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1758"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}