nftables nişanları və VPN marşrutlaşdırması: hansı qayda həqiqətən qalib gəlir

nftables-da qoyulan nişan bir sinif trafiki tuneldən keçirməlidir, lakin trafik fiziki interfeysdən çıxmağa davam edir. Qaydalar toplusu təcrid olunmuş halda düzgün görünür. Adətən baş verən odur ki, başqa bir şey həmin nişanı yazıb, ya da marşrutlaşdırma qaydası yeni dəyərin artıq ödəmədiyi maskaya uyğun gəlir.

Yoxlama 1: nüvənin uyğunlaşdırdığı qaydanı oxuyun

Firewall-dan deyil, siyasət qaydasından başlayın. Nüvə qaydalara prioritet sırası ilə baxır və cədvəli ilk uyğunluq müəyyən edir. fwmark dəyərini və maskanı qaydanın özündən oxuyun, sonra qoyduğunuz nişanı daşıyan paketin həqiqətən ona uyğun gəldiyini təsdiqləyin. Tam 32 bitlik dəyər gözləyən qayda yalnız bir bit daşıyan paketə uyğun gəlməyəcək.

Sonra həmin qaydanın hansı cədvəli seçdiyini və cədvəlin nəyi ehtiva etdiyini təsdiqləyin. Boş cədvələ işarə edən qayda axtarış uğursuzluğu yaradır ki, bu da bir çox sistemdə paketin növbəti qaydaya düşüb fiziki interfeysdən çıxması deməkdir.

İki əmr bunu həll edir: qaydalar siyahısı və həmin cədvəldə təyinat üçün marşrut axtarışı.

Yoxlama 2: paket nişanı, yoxsa bağlantı nişanı

nftables həm paketə, həm də bağlantı izləmə qeydinə nişan qoya bilər və bunlar fərqli obyektlərdir. Paket nişanı paketin emal keçidi boyunca yaşayır, bağlantı nişanı isə axın üçün qalır və qəsdən kopyalanmalıdır. Birini qoyub digərini gözləmək geniş yayılmış yarımçıq həlldir.

Əgər marşrutlaşdırma qaydası paket nişanına əsaslanırsa, bağlantı nişanının yolda sonradan bərpa edilməsi bu qərar üçün heç nə etmir, çünki qərar artıq verilib.

Marşrutlaşdırma siqnalının hansı obyektə aid olduğunu müəyyənləşdirin, sonra onu marşrutlaşdırma qərarının verildiyi nöqtədə qoyun.

Yoxlama 3: bu nişanı başqa kim yazır

WireGuard-ın öz alətləri UDP paketlərini nişanlayır ki, şifrələnmiş nəqliyyat aid olduğu tunelə geri yönləndirilməsin. Əgər qaydalar toplunuz eyni sahəyə əlaqəsiz dəyər təyin edirsə, bu istisna yox olur və tunelin xarici trafiki özünə girməyə çalışır. Simptom qurulan, sonra trafiki keçirməyi dayandıran tuneldir.

Nişanlar həmçinin digər firewall alətləri, konteyner şəbəkələri və digər məqsədlər üçün siyasət marşrutlaşdırması tərəfindən istifadə olunur, buna görə iki alt sistemin bütün sahəni yazması, hər biri ayrılıqda düzgün olsa da, konfliktdir.

Başqa birini əlavə etməzdən əvvəl yazanları sadalayın.

Yoxlama 4: maska nəyin qalacağını müəyyən edir

Nişan 32 bitlik sahədir və maskalar onu bir neçə sahibin paylaşma üsuludur. Dəyəri maska ilə qoymaq sizə aid olmayan bitləri qoruyur; bütün sahəni qoymaq başqalarının bitlərini dağıdır. Sahəyə toxunan hər qaydada maskanı oxuyun, o cümlədən yazmadığınız qaydalarda.

Bit bölgüsünü qaydalar toplusunun yanında sənədləşdirin.

Əks halda növbəti şəxs artıq sahibi olan dəyəri təkrar istifadə edəcək və buradakı konflikt marşrutlaşdırma xətası kimi görünsə də, əslində ünvanlama xətasıdır. Paket metadatası haqqında nftables sənədi nişan əməliyyatlarının özünü təsvir edir.

Yoxlama 5: axtarışla deyil, real axınla yoxlayın

Adi marşrut axtarışı nişan daşımır, buna görə real paketdən fərqli yol göstərə bilər. Sizi maraqlandıran trafiki yaradın və sayğacları, bağlantı izləmə qeydini və onun həqiqətən çıxdığı interfeysi müşahidə edin. Həm daxil edilən sinfi, həm də xaric edilən sinfi yoxlayın, çünki həddindən artıq geniş nişan uğurlu görünərkən istisnanı pozur. Daxil edilən sinif işləyirsə və xaric edilən sinif də tunelə girirsə, nişan dar deyil, genişdir.

Canlı sessiya zamanı yenilənməni məcbur etmək üçün bağlantı vəziyyətini təmizləməkdən çəkinin, çünki yeni və mövcud axınlar qanuni olaraq fərqli yollar tuta bilər.

Nişanı, maskanı və cədvəli bir yerdə qeyd edin, onda növbəti düzəliş nəzərdən keçirilə bilən olar.