nftables: VPN icazə qaydasını bloklama identifikatorundan əvvəl yerləşdirin

İcazə qaydasını səhv mövqeyə qoyun və o, heç bir icazə qaydası kimi davranar. nftables-da insert ilə add arasındakı seçim yeni ifadənin istinad edilən qaydanın hansı tərəfinə düşəcəyini müəyyən edir, identifikator isə qaydanı canlı qaydalar dəstində adlandırır, sətir nömrəsini deyil. Yerləşdirməni səhv etsəniz, paket əvvəlcə bloklamaya çatır.

Aşağıdakı müqayisə bir sabit həmkar və bir xarici dinləyici mübadiləsindən istifadə edir. O, qəsdən dardır; bütöv zəncirin dəyişdirilməsi fərqli risk profilinə malik fərqli bir dəyişiklikdir.

İki yerləşdirmə, iki fərqli nəticə

insert qaydanı istinad edilən qaydadan əvvəl yerləşdirir. add onu sonra yerləşdirir. İstinad edilən qayda axın üçün son bloklamadırsa, qayda mətni eyni olsa da, bu iki əmr əks nəticələr verir.

Mövqeyin buraxılmasının öz standart davranışı var ki, bu da forumdan əmri nəyə bağlandığını oxumadan köçürməmək üçün başqa bir səbəbdir. Bağlantı nöqtəsi bütün qərardır. Əmri yazmazdan əvvəl nəzərdə tutulan tərəfi yazın. Faylda insert ilə add arasında bir söz fərqi var.

Yerləşdirmə müəyyən bir zəncirdəki qaydaya nisbətdir. Eyni ifadəni başqa zəncirə və ya başqa hook prioritetinə köçürmək, qayda sintaksisi düzgün görünsə belə, onun hansı paketləri gördüyünü dəyişir.

İdentifikator qaydanı tanıdır, sətir nömrəsini deyil

42 kimi identifikator cari qaydalar dəsti vəziyyətində bir tanımlayıcıdır. O, qırx ikinci qayda deyil və hostlar, yenidən qurmalar və ya konfiqurasiyasını yenidən yükləyən menecer arasında sabit deyil.

Bağlantı nöqtəsini seçməzdən əvvəl zənciri və faktiki son bloklamanı tapın. Sonra həmin qaydadakı identifikatoru bloklamanı göstərən eyni siyahıda təsdiqləyin ki, nömrə və qayda birlikdə oxunsun. Köhnə siyahıdan oxunan identifikator artıq başqa qaydaya aid ola bilər. Onu dəyişikliyi tətbiq edəcək sessiyada yenidən oxuyun.

iptables --version
nft -a list ruleset

iptables versiyası hansı backend-in istifadə olunduğunu bildirir. iptables-nft qaydalar dəsti və müstəqil idarə olunan yerli cədvəl birgə mövcud ola bilər, ona görə bir frontend-dən alınan siyahı avtomatik olaraq tam filtrləmə mənzərəsi deyil. Zəncir seçməzdən əvvəl hər iki görünüşü yoxlayın.

Həqiqətən bloklayan zənciri və qaydanı tapın

Giriş hook-unu, zəncir prioritetini və bu dinləyici axınını rədd edən qaydayı oxuyun. inet cədvəli hər iki ünvan ailəsini daşıya bilər, lakin ayrı-ayrı qayda hələ də yalnız IPv4-ə uyğun gələ bilər.

Bir təsdiqlənmiş həmkar götürün, nümunə olaraq sənədləşdirmə diapazonundan 198.51.100.25 istifadə edin. Nəzərdən keçirilmiş yerli fayl 42 identifikatorundan əvvəl xarici icazə yerləşdirə bilər:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Yoxlamadan sonra ailəni, cədvəli, zənciri, identifikatoru, giriş interfeysini və həmkarı dəyişdirin. Nümunə nft 1.0.9 üçün sənədləşdirilmiş identifikator-mövqe formasından istifadə edir və giriş faylına aiddir; əmr interaktiv yazıldıqda mötərizə dırnaqlama ayrı məsələdir.

Konfiqurasiya sahibini aydın saxlayın. Qaydalarını yenidən quran menecer işləmə vaxtı düzəlişini üzərinə yaza bilər və köhnə identifikatoru sərt kodlayan yükləmə skripti ya uğursuz olacaq, ya da səhv qaydaya bağlanacaq.

Qəbul məhduddur, bloklama sonludur

Qəbul hökmü cari yolunda qiymətləndirməni bitirir, lakin sonradan tətbiq olunan baza zənciri paketi yenə də bloklaya bilər. Bloklama hökmü sonludur. Buna görə artan qəbul sayğacı axının uğur qazandığının sübutu deyil.

Bütün müvafiq hook prioritetlərini tək bir zəncirdən ayrıca yoxlayın. Paket giriş filtrindən keçib başqa cədvəlin hook-u tərəfindən fərqli prioritetdə yenə də rədd edilə bilər. Axını görə bilən hər baza zəncirini sadalayın.

Bu qayda yalnız xarici dinləyici mübadiləsini əhatə edir. Nəqliyyatla inkapsulyasiya edilmiş ESP, yerli ESP, IPv6 həmkarları və tunel daxilində şifrəsi açılmış trafik hamısı öz siyasətlərinə ehtiyac duyur. Bu tam sayt VPN firewall-u deyil.

Faylı yoxlayın, sonra canlı nəticəni təsdiqləyin

Tətbiq etməzdən əvvəl nəzərdən keçirilmiş faylda sintaksis və əməliyyat yoxlaması aparın. Yoxlama rejimi nft-nin dəyişikliyi təhlil edib hazırlaya biləcəyini bildirir; o, dəyişikliyi tətbiq etmir və başqa hook-un paketə icazə verəcəyini sübut etmir. Fayl sahibi tətbiq edənə qədər təklif olaraq qalır:

nft -c -f reviewed-vpn-rule.nft

Sahibin nəzarətli prosesi ilə tətbiq edin və bərpa girişini qoruyun. Qayda səhvdirsə, önünə keçməyə çalışdığınız bloklama onu düzəltmək üçün istifadə etdiyiniz yolu da kəsə bilər.

Dəyişiklikdən sonra yeni icazəli həmkar cəhdini müşahidə edin və təsdiqlənmiş həmkardan kənar mənbələrin hələ də rədd edildiyini yoxlayın. Davamlı qaydanı qaydalar dəstinə sahib olan menecerə köçürün, çünki işləmə vaxtı identifikatorları cari obyektləri tapır, onları yükləmələr arasında tanımlamır.