bk99.de entertain the web since 1997

bk99.de
CLT · PraxiswissenKuratiert

nftables: der neue Paketfilter im Linux-Kernel

Zusammenfassung

Michael Steinfurth von B1 Systems stellte bei den Chemnitzer Linux-Tagen 2014 nftables vor, den neuen Paketfilter im Linux-Kernel. nftables sollte mittelfristig iptables, ip6tables, arptables und ebtables ablösen. Der Vortrag erklärte das Design, die Unterschiede zu iptables und zeigte eine beispielhafte Migration.

Was nftables besser macht

Unter iptables gab es für IPv4, IPv6, ARP und Bridges jeweils ein eigenes Werkzeug mit eigenen Regeln, und viel Logik steckte fest im Kernel. nftables ersetzt das durch ein einziges Werkzeug namens nft und eine kleine virtuelle Maschine im Kernel, die Regeln ausführt. Neue Filtermöglichkeiten brauchen dadurch keine neuen Kernelmodule mehr.

Für Administratoren bringt nftables eine lesbarere Syntax, eine gemeinsame Tabelle für IPv4 und IPv6 sowie Mengen und Zuordnungstabellen, mit denen sich viele ähnliche Regeln in einer zusammenfassen lassen. Regeländerungen werden außerdem atomar übernommen, also ganz oder gar nicht.

Was daraus wurde

nftables kam mit Linux 3.13 Anfang 2014 in den Kernel. Die Ablösung dauerte länger als gedacht: Erst um 2019 stellten Debian 10 und Red Hat Enterprise Linux 8 auf nftables als Standard um. Viele Werkzeuge nutzen bis heute die iptables-Befehle, die über eine Kompatibilitätsschicht intern nftables-Regeln erzeugen.

Ideen

  • Ein einziges Werkzeug ersetzt getrennte Filter für IPv4, IPv6, ARP und Bridges.
  • Eine kleine virtuelle Maschine im Kernel führt die Filterregeln aus.
  • Mengen und Zuordnungstabellen fassen viele ähnliche Regeln zusammen.

Einsichten

  • Die Ablösung grundlegender Werkzeuge dauert oft viele Jahre.
  • Kompatibilitätsschichten erleichtern den Umstieg, verschleiern aber, was tatsächlich im Kernel passiert.

Fakten

  • Debian 10 und RHEL 8 nutzen nftables als Standard-Backend.
  • Den Vortrag hielt Michael Steinfurth von der B1 Systems GmbH.

Referenzen

Bemerkungen

  • Mit iptables-translate lassen sich bestehende iptables-Regeln in nftables-Syntax übersetzen.

Empfehlungen

  • Schreibe neue Firewall-Regeln direkt in nftables und nutze eine gemeinsame inet-Tabelle für IPv4 und IPv6.
  • Prüfe mit nft list ruleset, welche Regeln tatsächlich aktiv sind, auch wenn Werkzeuge iptables-Befehle verwenden.

Programmpunkt öffnen →

Im Webarchiv suchen

CLT · 2026

Vanilla Linux auf einem 100-Gbit/s-Router

Benedikt Heine, Head of Infrastructure bei der 3Q GmbH, berichtete bei den Chemnitzer Linux-Tagen 2026, wie die Firma Mellanox-Switches mit normalem Linux als Router für 100 Gbit/s einsetzt. Möglich macht das switchdev, mit dem der Linux-Kernel die Schaltlogik direkt auf den Switch-Chip auslagert. Das Ergebnis: voller Linux-Support, lange Softwarepflege, kein weiterer Netzwerkhersteller zum Lernen und keine Lizenzkosten.

CLT · 2023

Alpine Linux als schlanker Router

Thomas Liske, Leiter des Network Operation Center der IBH IT-Service GmbH, zeigte bei den Chemnitzer Linux-Tagen 2023, warum sich Alpine Linux hervorragend für Router eignet. Bei Alpine denkt man meist an Container-Images, doch IBH betreibt damit Router von der einfachen Stateful Firewall bis zum BGP-Router in der Default-Free Zone. Der Vortrag beschrieb die Migration von proprietären Routern, die gewählten Softwarekomponenten und die daraus entstandene Unterstützung von Open-Source-Projekten.

CLT · 2022

Einen eigenen Linux-Heimrouter bauen

Rouven Czerwinski von Pengutronix zeigte bei den Chemnitzer Linux-Tagen 2022, wie man aus freien Komponenten einen eigenen Linux-Router für zu Hause baut. Im Vortrag kam NixOS zum Einsatz, das Vorgehen funktioniert aber mit jeder Distribution. Behandelt wurden PPPoE für den VDSL-Anschluss, DHCP für mehrere interne Netze, DNS, eine Firewall und IPv6 mit ULA und delegierten Präfixen, dazu kurz DDNS und WireGuard für den Zugriff von unterwegs.