اسم السلسلة ليس خطافًا: iptables مقابل nftables

يمكن لكلا الجدارين تصفية حركة VPN المُمرَّرة، وكلاهما يربط القواعد بمسار الحزمة بطرق مختلفة. في iptables توجد سلاسل مدمجة داخل جدول، لذا FORWARD موجود كنقطة خطاف مُسمّاة. أما nftables فيفصل اسم السلسلة عن نوعها وخطافها وأولويّتها، وهذا يعني أن سلسلة عادية تُسمّى FORWARD لا تصفي شيئًا على الإطلاق. ومقارنة النموذجين تشرح لماذا لا يكون لقيد يبدو صحيحًا في أداة واحدة أي أثر في الأداة الأخرى.

السلسلة حاوية. أما ما إذا كانت النواة تراجعها فيعتمد على التنفيذ وعلى كيفية ربط مجموعة القواعد بها.

نموذجان، طريقتان مختلفتان للربط

في iptables يوفّر جدول filter ثلاث سلاسل مدمجة، هي INPUT وFORWARD وOUTPUT، و-N تُنشئ سلسلة يعرّفها المستخدم لا تسري إلا عند القفز إليها من إحداها. أما دليل nftables فيعرّف بدلًا من ذلك السلاسل الأساسية التي تعلن نوعها وخطافها وأولويّتها، والسلاسل العادية التي لا تفعل ذلك. ويمكن للسلسلة الأساسية أن تحمل أي اسم تريده، بينما لا تكسب سلسلة عادية اسمها FORWARD أي خصائص من تسميتها. هذا هو الفرق كله، وهو غير مرئي في درس يعرض نص القواعد فقط.

تضيف الواجهات الخلفية للتوافق سببًا ثانيًا لعدم استنتاج السلوك من اسم أمر. فتوثيق iptables يذكر عمليات تختلف تحت iptables-nft، لذا عامل nftables الأصلية وiptables-nft ومجموعة قواعد قديمة كثلاثة أنظمة لا كثلاثة تهجئات لنظام واحد.

اقرأ الخطأ في سياقه الحقيقي

الجدول المفقود وفشل الإذن والمرافق النووية غير المتاحة والسلسلة المُسمّاة المفقودة أربع نتائج مختلفة، وواحدة فقط تخص السلسلة. سجّل إصدار الأداة وعائلة العناوين والجدول المطلوب ومساحة أسماء الشبكة وأول خطأ دقيق. ثم تحقّق من الجهة التي تملك مجموعة القواعد: فقد تُنشئ خدمة جدار حماية أو بوابة يديرها منتج سلاسلها وترتيبها الخاص. وإضافة سلسلة أصلية إلى جانبها تترك السياسة المُدارة كما هي وتزيد المخزون التباسًا.

قد تحمل مساحة أسماء الحاوية مجموعة قواعد مختلفة عن المضيف، لذا لا يمكن لأمر يُنفّذ في السياق الخاطئ أن يُظهر أي سلسلة رأت حزمة مُمرَّرة. ورفع الصلاحيات لأن سلسلة متوقعة لم تكن مرئية ليس تشخيصًا.

العدّادات تثبت الوصول، لا الحكم

تخبرك عدّادات القواعد بأن قاعدة ما وصل إليها المسار. وهي لا تخبرك أن قاعدة لاحقة سمحت بالعملية، ولا تثبت أن كل مسار بديل قد رُفض. اقرأها خلال تدفق واحد مصرّح به وغير ضار، إلى جانب ترتيب القواعد وربط السلسلة، وعاملها كملاحظة واحدة لا كحكم. وجود عدّاد غير صفري على قاعدة إسقاط يعني أن الحركة أصابته؛ ولا يقول شيئًا عن الحركة التي لم تصبه.

توجيه IP في النواة إعداد منفصل تمامًا. فوجود سلسلة لا يُمكّن التوجيه، وغياب تسمية مألوفة لا يعني أن التوجيه توقف.

صِف التدفق الذي تتوقع حمايته

اكتب طلب عميل واحد بعد فك التغليف: مصدره ووجهته وعائلة العناوين، وما إذا كان ينتهي عند البوابة أو يمر عبرها. تُرصد مدخلات الخدمة المحلية والحركة المُمرَّرة عند نقاط مختلفة، لذا تحتاج إلى قواعد واختبارات مختلفة. وفي VPN جسرية، تحقّق أيضًا من مسار الجسر، لأن سلسلة على مستوى IP لا تراقب إطارات Ethernet تلقائيًا.

احتفظ بوصول استرداد مستقل قبل تغيير بوابة بعيدة. ثم أكّد التدفق المقصود والرفض المطلوب ضمن مجموعة القواعد نفسها. السلسلة الفارغة الجديدة باسم مألوف ليست إصلاحًا.

تنتهي المقارنة بسؤال واحد: أي خطاف تنادي عليه النواة فعليًا لهذه الحزمة؟ أجب عن ذلك، فيكفّ اسم السلسلة عن الأهمية.