’n Kettingnaam is nie ’n haak nie: iptables teenoor nftables

Albei firewalls kan deurgestuurde VPN-verkeer filter, en hulle heg reëls op verskillende maniere aan die pakketpad. iptables het ingeboude kettings binne ’n tabel, so FORWARD bestaan as ’n genoemde haakpunt. nftables skei ’n ketting se naam van sy tipe, haak en prioriteit, wat beteken dat ’n gewone ketting met die naam FORWARD glad niks filter nie. Om die twee modelle te vergelyk, verduidelik waarom ’n inskrywing wat in een gereedskap reg lyk, in die ander geen effek het nie.

’n Ketting is ’n houer. Of die kern dit raadpleeg, hang af van die implementering en van hoe die reëlstel dit heg.

Twee Modelle, Twee Verskillende Hegtings

In iptables lewer die filtertabel drie ingeboude kettings, INPUT, FORWARD en OUTPUT, en -N maak ’n gebruikergedefinieerde ketting wat eers effek het wanneer daarheen gespring word vanuit een van hulle. Die nftables-handleiding definieer eerder basiskettings, wat hulle tipe, haak en prioriteit verklaar, en gewone kettings, wat dit nie doen nie. ’n Basisketting kan enige naam dra wat jy wil, en ’n gewone ketting met die naam FORWARD kry geen eienskappe van sy etiket nie. Dit is die hele verskil, en dit is onsigbaar in ’n tutoriaal wat net reëlteks wys.

Versoenbaarheidsagterkante voeg ’n tweede rede by om nie gedrag uit ’n opdragnaam af te lei nie. Die iptables-dokumentasie noem bewerkings wat onder iptables-nft verskil, so behandel inheemse nftables, iptables-nft en ’n legacy-reëlstel as drie stelsels eerder as drie spellings van een.

Lees die Fout in Sy Werklike Konteks

’n Ontbrekende tabel, ’n toestemmingsfout, ’n onbeskikbare kernfasiliteit en ’n ontbrekende genoemde ketting is vier verskillende bevindings, en net een gaan oor die ketting. Teken die gereedskapweergawe, die adresfamilie en tabel wat versoek is, die netwerknaamruimte en die eerste presiese fout aan. Kyk dan watter komponent die reëlstel besit: ’n firewalldiens of ’n produkbestuurde poort kan sy eie kettings en ordening genereer. Om ’n inheemse ketting langs hulle by te voeg, laat die bestuurde beleid onaangeraak en maak die inventaris verwarrender.

’n Houer se naamruimte kan ’n ander reëlstel as die gasheer hou, so ’n opdrag wat in die verkeerde konteks uitgevoer word, kan nie wys watter ketting ’n deurgestuurde pakket gesien het nie. Voorregte verhoog omdat ’n verwagte ketting nie sigbaar was nie, is nie ’n diagnose nie.

Tellers Bewys Bereik, Nie Uitspraak Nie

Reëltellers vertel jou dat ’n reël bereik is. Hulle vertel jou nie dat ’n latere reël die bewerking toegelaat het nie, en hulle bewys nie dat elke alternatiewe pad geweier is nie. Lees hulle tydens een skadelose gemagtigde vloei, saam met reëlordening en kettinghegting, en behandel hulle as een waarneming eerder as ’n uitspraak. ’n Nie-nul teller op ’n drop-reël beteken verkeer het dit getref; dit sê niks oor verkeer wat dit nie getref het nie.

Kern-IP-deursturing is ’n heeltemal aparte instelling. ’n Ketting wat bestaan, aktiveer nie deursturing nie, en ’n bekende etiket wat afwesig is, beteken nie deursturing het gestop nie.

Beskryf die Vloei wat Jy Verwags om te Beskerm

Skryf een klientversoek na dekapsulering neer: sy bron, sy bestemming, die adresfamilie, en of dit by die poort eindig of daardeur gaan. Plaaslike diensinvoer en deurgestuurde verkeer word op verskillende punte waargeneem, so hulle het verskillende reëls en verskillende toetse nodig. Vir ’n gebrugde VPN, verifieer ook die brugpad, want ’n ketting op IP-vlak polisieer nie outomaties Ethernet-rame nie.

Bewaar onafhanklike hersteltoegang voordat jy ’n afgeleë poort verander. Bevestig dan die beoogde vloei en die vereiste weierings onder dieselfde reëlstel. ’n Nuwe leë ketting met ’n bekende naam is nie ’n herstel nie.

Die vergelyking eindig in een vraag: watter haak roep die kern werklik vir hierdie pakket? Antwoord dit, en die kettingnaam hou op om saak te maak.