Réseau

Le cadriciel nftables fournit des facilités de classification des paquets et est le successeur désigné des outils iptables, ip6tables, arptables et ebtables. Il offre de nombreuses améliorations en termes de commodité, de fonctionnalités et de performances par rapport aux outils de filtrage de paquets précédents, notamment :

Tout comme pour iptables, nftables utilise des tables pour stocker les chaines. Les chaines contiennent des règles individuelles pour effectuer des actions. L’outil nft remplace tous les outils des précédents cadriciels de filtrage de paquets. La bibliothèque libnftables peut être utilisée pour une interaction de bas niveau avec l’API Netlink nftables par le biais de la bibliothèque libmnl.

Les outils iptables, ip6tables, ebtables et arptables sont remplacés par des outils basés sur nftables et portant le même nom. Le comportement est identique à celui de leurs homologues existants, mais en interne ils utilisent nftables avec les anciens modules du noyau netfilter par le biais d’une interface de compatibilité lorsque cela est nécessaire.

L’effet des modules sur le jeu de règles nftables peut être observé en utilisant la commande nft list ruleset. Comme ces outils ajoutent des tables, des chaines et des règles au jeu de règles nftables, il faut savoir que les opérations sur le jeu de règles nftables, comme la commande nft flush ruleset, peuvent affecter les jeux de règles installés à l’aide des anciennes commandes séparées.

Pour identifier rapidement quelle variante de l’outil est présente, les informations sur la version ont été mises à jour pour inclure le nom du back-end. Dans Fedora 32, l’outil iptables basé sur nftables imprime la chaine de version suivante :

À titre de comparaison, les informations suivantes sont imprimées si l’ancien outil iptables est présent :

Pour plus d’informations, consultez les pages https://fedoraproject.org/wiki/Changes/iptables-nft-default et https://wiki.nftables.org/wiki-nftables/index.php/Legacy_xtables_tools.