• [^] # Re: iptables est remplacé par nftables

    Posté par (site web personnel) . En réponse à la dépêche Debian 10 Buster : une distribution qui a du chien. Évalué à 6.

    Bonne question.

    Je note que ça n'est pas supporté par iptables-translate (ou sa variante iptables-restore-translate), puisque la commande en question est recopiée comme telle en sortie, préfixée par #.

    La page de manuel contient :

    LIMITATIONS

    Some (few) extensions may be not supported (or fully-supported) for whatever reason (for example, they were considered obsolete, or we didn't have the time to work on them).

    Dans les sources iptables, je note qu'il n'y a pas de fichier extensions/libipt_TTL.txlate... Ce qui semble confirmer qu'il n'est pas prévu de proposer de traduction automatique de règle pour la cible TTL, implémentée dans le noyau par :

    config NETFILTER_XT_TARGET_HL
 tristate '"HL" hoplimit target support'
 depends on IP_NF_MANGLE || IP6_NF_MANGLE
 depends on NETFILTER_ADVANCED
 ---help---
 This option adds the "HL" (for IPv6) and "TTL" (for IPv4)
 targets, which enable the user to change the
 hoplimit/time-to-live value of the IP header.
 While it is safe to decrement the hoplimit/TTL value, the
 modules also allow to increment and set the hoplimit value of
 the header to arbitrary values. This is EXTREMELY DANGEROUS
 since you can easily create immortal packets that loop
 forever on the network.

    Et mes recherches semblent suggérer que la gestion TTL n'est prévue que côté matching...

    Et ça semble confirmé par : https://wiki.nftables.org/wiki-nftables/index.php/Supported_features_compared_to_xtables

    Debian Consultant @ DEBAMAX