Weise Worte

Einige Admins wünschen sich eine Linux-Portierung der OpenBSD-Firewall »pf«, die mit einer leistungsfähigen Filtersprache aufwartet. Dazu wird es dem Vernehmen nach jedoch nicht kommen. - zu groß sind die architektonischen Unterschiede im Kern, lässt das Netfilter-Team wissen. Dennoch dürfen sich Admins auf ein neues User-Interface freuen: Anstelle des unhandlichen Tools »iptables« mit seinen vielen, teilweise voneinander abhängiger Kommandozeilenoptionen spendiert das Netfilter-Team nun eine eigene Beschreibungssprache. An den Details der Syntax feilen die Entwickler noch, haben sich dazu aber extra einige Sprachdesigner ins Boot geholt. Die Anweisungen

define local_ifs = { eth0, eth1 }
filter input meta iif $local_ifs daddr 10.0.0.0/8 counter accept

lassen Pakete für das Netz 10.0.0.0/8 passieren, wenn sie von den lokalen Interfaces aus kommen. NF-Tables loggt dies. Das deutet bereits an, dass es wohl möglich ist, Regelsätze von IP-Tables in solche für NF-Tables zu übersetzen, wenn sie überschaubar sind. Gleichwohl existiert so ein Werkzeug bislang nur in den Köpfen der Entwickler und Wünschen der Anwender.

In der Ruhe liegt die Kraft

Nach einigen Vorstellungsrunden im Kreise der Netfilter-Programmierer ging McHardy im März 2009 an die Öffentlichkeit und präsentierte die erste Version des Subsystems den Linux-Entwicklern. Der herunterladbare Code sei zwar prinzipiell funktionsfähig, aber noch weit von der Produktionsreife entfernt. Aktuell arbeitet das Team daran, gleich auch die Mechanismen des Traffic-Shaping mit dem Kommando »tc« in die Beschreibungssprache mit aufzunehmen.

Der Entwickler steckt den Migrationszeitraum, in dem Distributionen und Produktanbieter auf NF-Tables umsteigen, mit mindestens drei Jahren ab. Um das zu schaffen, sei noch intensives Testen nötig. Um dafür die Voraussetzungen zu schaffen, will McHardy seinen Code möglichst bald in die Breite tragen. Im Gespräch mit dem Linux-Magazin verriet er: "Ich hoffe, den Code bis Linux 2.6.33 im Kernel zu haben." Gelänge dies, dürfen Experimentierfreudige zum Ende des Jahres bereits einen reinkarnierten Hüter ihrer Systeme beschäftigen.