Zəncir adı qarmaq deyil: iptables və nftables

Hər iki firewall ötürülən VPN trafikini süzgəcdən keçirə bilər və qaydaları paket yoluna fərqli şəkildə bağlayır. iptables-də cədvəlin içində daxili zəncirlər var, yəni FORWARD adlı qarmaq nöqtəsi kimi mövcuddur. nftables isə zəncirin adını onun tipindən, qarmağından və prioritetindən ayırır, bu da FORWARD adlanan adi zəncirin heç nəyi süzgəcdən keçirmədiyi anlamına gəlir. İki modeli müqayisə etmək bir alətdə düzgün görünən qeydin digərində niyə heç bir təsiri olmadığını izah edir.

Zəncir bir qabdır. Nüvənin ona müraciət edib-etmədiyi tətbiqatdan və qaydalar toplusunun onu necə bağladığından asılıdır.

İki Model, İki Fərqli Bağlama

iptables-də filter cədvəli üç daxili zəncir təqdim edir: INPUT, FORWARD və OUTPUT, və -N istifadəçi tərəfindən təyin olunan zəncir yaradır ki, bu da yalnız onlardan birinə keçid edildikdə qüvvəyə minir. nftables təlimatı isə bunun əvəzinə tipini, qarmağını və prioritetini bildirən baza zəncirlərini və bunu etməyən adi zəncirləri təyin edir. Baza zənciri istədiyiniz hər hansı adı daşıya bilər, FORWARD adlı adi zəncir isə etiketindən heç bir xassə qazanmır. Bütün fərq budur və yalnız qayda mətnini göstərən dərslikdə bu görünmür.

Uyğunluq arxa qatları əmr adından davranış çıxarmamaq üçün ikinci səbəb əlavə edir. iptables sənədləri iptables-nft altında fərqlənən əməliyyatları qeyd edir, ona görə yerli nftables-i, iptables-nft-i və köhnə qaydalar toplusunu bir sistemin üç yazılışı kimi deyil, üç sistem kimi qəbul edin.

Xətanı Həqiqi Kontekstində Oxuyun

Çatışmayan cədvəl, icazə xətası, mövcud olmayan nüvə imkanı və çatışmayan adlı zəncir dörd fərqli tapıntıdır və yalnız biri zəncirlə bağlıdır. Alətin versiyasını, tələb olunan ünvan ailəsini və cədvəli, şəbəkə adlar fəzasını və ilk dəqiq xətanı qeyd edin. Sonra qaydalar toplusunun hansı komponentə aid olduğunu yoxlayın: firewall xidməti və ya məhsul tərəfindən idarə olunan şlüz öz zəncirlərini və sırasını yarada bilər. Onların yanına yerli zəncir əlavə etmək idarə olunan siyasəti toxunulmaz qoyur və inventarı daha çaşqın edir.

Konteynerin adlar fəzası hostdan fərqli qaydalar toplusu saxlaya bilər, ona görə səhv kontekstdə işlədilən əmr ötürülən paketi hansı zəncirin gördüyünü göstərə bilməz. Gözlənilən zəncir görünmədiyi üçün imtiyazları artırmaq diaqnoz deyil.

Sayğaclar Çatımı Sübut Edir, Hökmü Yox

Qayda sayğacları sizə qaydaya çatıldığını bildirir. Sonrakı qaydanın əməliyyata icazə verdiyini bildirmir və hər alternativ yolun rədd edildiyini sübut etmir. Onları bir zərərsiz icazəli axın zamanı, qaydaların sırası və zəncirin bağlanması ilə birlikdə oxuyun və hökm kimi deyil, bir müşahidə kimi qəbul edin. Atma qaydasında sıfırdan fərqli sayğac trafikin ona dəydiyini bildirir; dəyməyən trafik haqqında heç nə demir.

Nüvədə IP ötürmə tamamilə ayrı bir tənzimləmədir. Zəncirin mövcud olması ötürməni aktivləşdirmir və tanış etiketin olmaması ötürmənin dayandığı anlamına gəlmir.

Qorumağı Gözlədiyiniz Axını Təsvir Edin

Dekapsulyasiyadan sonra bir müştəri sorğusunu yazın: mənbəyi, təyinatı, ünvan ailəsi və şlüzdə bitib-bitmədiyi və ya ondan keçdiyi. Yerli xidmət girişi və ötürülən trafik fərqli nöqtələrdə müşahidə olunur, ona görə fərqli qaydalar və fərqli sınaqlar tələb edir. Körpülənmiş VPN üçün körpü yolunu da yoxlayın, çünki IP səviyyəsində zəncir Ethernet çərçivələrini avtomatik nəzarət etmir.

Uzaq şlüzü dəyişməzdən əvvəl müstəqil bərpa girişini qoruyun. Sonra eyni qaydalar toplusu altında nəzərdə tutulan axını və tələb olunan rəddləri təsdiqləyin. Tanış adlı yeni boş zəncir təmir deyil.

Müqayisə bir sualla bitir: nüvə bu paket üçün həqiqətən hansı qarmağı çağırır? Buna cavab verin və zəncirin adı əhəmiyyətini itirir.