VPN interfeysi gələndə nftables siyasətini sabit saxlayın

Tunellər birdəfəlikdir; siyasət belə olmamalıdır. Linux keçidində tunel interfeysini adla uyğunlaşdıran nftables qaydası bir dəfə yüklənə və həmin interfeys hər dəfə görünəndə tətbiq olunmağa davam edə bilər. Interfeys hələ də həyat dövrünə sahibdir: yaradılır, itir, ətrafındakı marşrutlar və tərcümələr isə öz cədvəlini izləyir. Bu sahibləri ayırmaq yenidən qoşulma zamanı girişi sabit saxlayan şeydir.

Ad uyğunluğu interfeysdən daha uzun yaşayır

nftables rəqəmsal interfeys indeksi uyğunluqları və dinamik ad uyğunluqları iifname və oifname təklif edir. Bu adlardan istifadə edən qaydalar tunel cihazı hələ yaradılmadıqda belə təmiz yüklənir, bu da yüklənmə zamanı qaydalar dəstinin ehtiyac duyduğu şeydir. Interfeys adı dəyişdirilsə uyğunlaşma dayanır və yeni interfeys həmin adı alsa davam edir. Rəqəmsal indeksdə bu xassə yoxdur, buna görə tunel üçün ad forması adi seçimdir.

Ad uyğunlaşdırma açarıdır, qarşı tərəfin kimliyinə dair sübut deyil. Qarşı tərəfin autentifikasiyası VPN-in işi olaraq qalır.

Qaydalar əlavə etməzdən əvvəl zənciri oxuyun

Qaydalar dəstinin hazırda nə saxladığına və yeni qaydanın harada yerləşəcəyinə baxın, çünki nəticəni sıra müəyyən edir.

nft list ruleset
nft -c -f /etc/nftables.conf

Siyahı zəncirləri, qaydaları və tutacaqları göstərir, yoxlama rejimi isə namizəd faylı yükləmədən təsdiqləyir. Eyni axın üçün əvvəlki qəbuldan sonra yerləşdirilən yalnız tunelə aid icazə heç nəyi dəyişmir, çünki ilk uyğun gələn qayda qalib gəlir. Buna görə gec gələn qayda düzgün görünə və heç bir təsiri olmaya bilər. Zənciri sıra ilə oxuyun və müştəridən yuxarı keçidə trafik üçün rəddin hələ də hər hansı daha geniş qaydadan əvvəl gəldiyini təsdiqləyin.

Marşrutlar, tərcümə və axınların başqa sahibləri var

Interfeysin mövcudluğu marşrut yaratmır və qarşı tərəfi doğrulamır. Bunlar VPN menecerinə aiddir, tərcümənin isə üçüncü həyat dövrü var.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack siyahısı mövcud axınları orijinal və tərcümə olunmuş dəyərləri ilə göstərir, marşrut siyahısı isə menecerin interfeys üçün quraşdırdığını göstərir. NAT qaydaları bağlantı izləmə vəziyyətini ilk paketdə yaradır, buna görə qurulmuş axın qayda dəyişdikdən sonra da tərcüməsini saxlayır. Buna görə yenilənən qayda ilə yeni yoldan istifadə edən axın fərqli ifadələrdir. Hansı sessiyaların yenidən qoşulmalı olduğuna qərar verin və əlaqəsiz axınlara toxunmayın.

Soyuq başlanğıcı, itkini və bərpanı qəbul edin

Şlüzü tunel yüklənmə zamanı yoxkən, sonra varkən, sonra da kəsilmə və qayıdışdan sonra sınaqdan keçirin. Tunel yoxkən qadağan edilmiş yönləndirmənin rədd olunduğunu, qarşı tərəf doğrulandıqdan sonra yeni icazəli axının işlədiyini və bərpanın əlaqəsiz vəziyyəti təmizləməyi tələb etmədiyini təsdiqləyin. Bir profilin dayandırma əməliyyatı olaraq bütün POSTROUTING zəncirini və ya hər conntrack qeydini silməyin, çünki digər xidmətlər onları paylaşır. Yalnız başlanğıc qarmağının sıfırla çıxdığını deyil, hansı komponentin interfeysi, marşrutu və siyasəti dəyişdiyini qeyd edin.

Yenidən qoşulmadan sonra yaşayan siyasət sahibləri adlandırılmış və qaydaları tunel həm bağlı, həm açıq sınaqdan keçirilmiş siyasətdir. Uğur bildirən qarmaq yalnız qarmağın işlədiyini sübut edir.