Arch Linux

iptables verwendet jetzt standardmäßig das nft-Backend

Pierre

Der alte Paketname iptables-nft wurde durch iptables ersetzt, und das Legacy-Backend ist unter dem Namen iptables-legacy verfügbar.

Beim Wechsel zwischen den Paketen (zwischen iptables-nft, iptables und iptables-legacy) sollte in den Verzeichnissen /etc/iptables/ nach .pacsave-Dateien gesucht und die dort gespeicherten Regeln gegebenenfalls wiederhergestellt werden:

/etc/iptables/iptables.rules.pacsave
/etc/iptables/ip6tables.rules.pacsave

Die meisten Konfigurationen sollten ohne Änderungen funktionieren. Nutzer, die auf ungewöhnliche xtables-Erweiterungen oder Legacy-Funktionen angewiesen sind, sollten jedoch sorgfältig testen und gegebenenfalls iptables-legacy verwenden.

segfault

Ehrlichgesagt, ich verstehe das noch nicht so richtig. Was ist denn der Unterschied zu vorher? So wie ich es sehe, wird anhand Dependencies:

$ pacman -Qi iptables | grep -Ei "Depends"
Depends On      : bash  glibc  libmnl  libnetfilter_conntrack  libnfnetlink  libnftnl  libpcap  nftables

zusätzlich das Paket: nftables nachinstalliert. Ich habe jetzt also iptables + nftables installiert. War das die Intension?

GerBra

Korrekterweise sollte es IMHO heißen:
" Das Paket iptables wurde durch den Inhalt des Paketes iptables-nft ersetzt. Das alte Backend vom vormaligen iptables-Paket ist nun als iptables-legacy verfügar"

segfault Was ist denn der Unterschied zu vorher?

segfault Ich habe jetzt also iptables + nftables installiert

Für die Konfiguration des Kernel-Netfilters wird nun ein anderes Backend verwendet (neue/andere Syntax). nämlich nftables. Das bekommst du nun standardmäßig wenn du iptables installierst.
Beide Backends scheinen bei den damit erstellten Kernel-Netfilter Regeln weitgehend kompatibel zu sein, lediglich ausgefallene Regelwerke bedürfen ggf. einer Anpassung (oder halt im Extremfall ein Wechseln zum Paket iptables-legacy)

https://wiki.archlinux.org/title/Iptables#Basic_concepts (jetzt: iptables-legacy)
https://wiki.archlinux.org/title/Nftables#Configuration (jetzt: iptables)

segfault

GerBra Für die Konfiguration des Kernel-Netfilters wird nun ein anderes Backend verwendet (neue/andere Syntax). nämlich nftables. Das bekommst du nun standardmäßig wenn du iptables installierst.

Sorry. Ich verstehe es nicht. Kucke Dir iptables an: pacman -Ql iptables. Da ist nicht mit nftables. Da ist der ganze legacy Kram. Der ist nicht weg. Der wird nie weg sein, da iproute2 ihn benötigt. Und: Um was für ein "Backend" geht es hier? Es tut mir leid, ich kann hier nicht folgen. Backend für was? Ich habe bei mir bereits alles auf nft umgestellt. Umd kompatibel war das nicht. Eine total andere Welt. Alles anders. Aber auch total andere Möglichkeiten.

GerBra

segfault Und: Um was für ein "Backend" geht es hier? Es tut mir leid, ich kann hier nicht folgen. Backend für was?

Vorweg: Ich nutze (und habe schon ewig keine mehr erstellt) kein Netfilter.

iptables und iptables-legacy basieren (wohl schon länger) ja auf dem gleichen PKGBUILD, wobei -legacy ein Splitted-Package daraus ist.
Der Unterschied liegt in den Depends: Vor dieser Änderung bekamst du kein nftables-Paket als Abhängigkeit wenn du iptables installiert hast. Aktuell bekommst du es per Default. Nur wenn du aktuell iptables-legacy installieren würdest, dann käme diese Abhängigkeit nicht aufs System.

"Backend == Interface": Darunter verstehe ich, wie standardmäßig die Netfilter-Regeln erstellt werden (sollen).
Aktuell wohl nun mittels nftables (also nft als "Binary") statt wie bisher mittels iptables (iptables als "Binary").

segfault Ich habe bei mir bereits alles auf nft umgestellt.

Dafür mußtest du dann aber das Paket nftables "extra" installieren, nun ist das "der Standard".

So "reime" ich mir das zusammen. Ggf. wird irgendwann das iptables Binary (als "Backend") wegfallen, auch das WIki auf .org könnte diesen "Wechsel der Sprache" für Netfilter irgendwann widerspiegeln...