Nid yw enw cadwyn yn fachyn: iptables a nftables

Gall y ddau wal dân hidlo traffig VPN a anfonir ymlaen, ac maent yn cysylltu rheolau â llwybr y pecyn mewn ffyrdd gwahanol. Mae gan iptables gadwyni adeiledig y tu mewn i dabl, felly mae FORWARD yn bodoli fel pwynt bachyn sydd wedi’i enwi. Mae nftables yn gwahanu enw cadwyn oddi wrth ei math, ei bachyn a’i blaenoriaeth, sy’n golygu nad yw cadwyn gyffredin a elwir FORWARD yn hidlo dim o gwbl. Mae cymharu’r ddau fodel yn egluro pam nad oes gan gofnod sy’n edrych yn gywir mewn un offeryn unrhyw effaith yn y llall.

Mae cadwyn yn gynhwysydd. A yw’r cnewyllyn yn edrych arni yn dibynnu ar y gweithrediad ac ar sut mae’r set rheolau yn ei chysylltu.

Dau Fodel, Dau Gysylltiad Gwahanol

Yn iptables, mae tabl filter yn cynnwys tair cadwyn adeiledig, INPUT, FORWARD ac OUTPUT, ac mae -N yn creu cadwyn a ddiffinnir gan y defnyddiwr nad yw’n gweithio nes neidio iddi o un ohonynt. Mae llawlyfr nftables yn diffinio cadwyni sylfaen yn lle hynny, sy’n datgan eu math, eu bachyn a’u blaenoriaeth, a chadwyni cyffredin, nad ydynt yn gwneud hynny. Gall cadwyn sylfaen gario unrhyw enw a ddymunwch, ac nid yw cadwyn gyffredin o’r enw FORWARD yn ennill unrhyw briodweddau o’i label. Dyma’r unig wahaniaeth, ac mae’n anweladwy mewn tiwtorial sy’n dangos testun rheolau yn unig.

Mae cefndiroedd cydnawsedd yn ychwanegu ail reswm dros beidio â chasglu ymddygiad o enw gorchymyn. Mae dogfennaeth iptables yn nodi gweithrediadau sy’n gwahaniaethu o dan iptables-nft, felly triniwch nftables brodorol, iptables-nft a hen set rheolau fel tri system yn hytrach na thri sillafiad o un.

Darllenwch y Gwall yn ei Gyd-destun Go Iawn

Mae tabl ar goll, methiant caniatâd, cyfleuster cnewyllyn sydd ddim ar gael a chadwyn o’r enw ar goll yn bedwar canfyddiad gwahanol, a dim ond un sy’n ymwneud â’r gadwyn. Cofnodwch fersiwn yr offeryn, y teulu cyfeiriadau a’r tabl a ofynnwyd amdanynt, gofod enw’r rhwydwaith a’r union wall cyntaf. Yna gwiriwch pa gydran sy’n berchen ar y set rheolau: gall gwasanaeth wal dân neu borth a reolir gan gynnyrch gynhyrchu ei gadwyni a’i drefn ei hun. Mae ychwanegu cadwyn frodorol wrth eu hymyl yn gadael y polisi a reolir heb ei gyffwrdd ac yn gwneud y rhestr yn fwy dryslyd.

Gall gofod enw cynhwysydd ddal set rheolau wahanol i’r gwesteiwr, felly ni all gorchymyn a redir yn y cyd-destun anghywir ddangos pa gadwyn a welodd becyn a anfonwyd ymlaen. Nid yw codi breintiau am nad oedd cadwyn ddisgwyliedig yn weladwy yn ddiagnosis.

Mae Cyfrifwyr yn Profi Cyrhaeddiad, Nid Dyfarniad

Mae cyfrifwyr rheolau yn dweud wrthych fod rheol wedi’i chyrraedd. Nid ydynt yn dweud wrthych fod rheol ddiweddarach wedi caniatáu’r gweithrediad, ac nid ydynt yn profi bod pob llwybr amgen wedi’i wrthod. Darllenwch hwy yn ystod un llif awdurdodedig ddiniwed, ochr yn ochr â threfn y rheolau a chysylltiad y gadwyn, a’u trin fel un arsylwad yn hytrach na dyfarniad. Mae cyfrifydd nad yw’n sero ar reol daflu yn golygu bod traffig wedi taro arni; nid yw’n dweud dim am draffig na tharodd arni.

Mae anfon IP ymlaen yn y cnewyllyn yn osodiad hollol ar wahân. Nid yw cadwyn yn bodoli yn galluogi anfon ymlaen, ac nid yw label cyfarwydd ar goll yn golygu bod anfon ymlaen wedi stopio.

Disgrifiwch y Llif yr Hoffech ei Amddiffyn

Ysgrifennwch un cais cleient ar ôl datgapsuleiddio: ei ffynhonnell, ei gynefin, y teulu cyfeiriadau, ac a yw’n gorffen wrth y porth ai peidio. Mae mewnbwn gwasanaeth lleol a thraffig a anfonir ymlaen yn cael eu harsylwi ar bwyntiau gwahanol, felly mae arnynt angen rheolau gwahanol a phrofion gwahanol. Ar gyfer VPN bont, gwiriwch lwybr y bont hefyd, oherwydd nid yw cadwyn ar lefel IP yn rheoli fframiau Ethernet yn awtomatig.

Cadwch fynediad adfer annibynnol cyn newid porth anghysbell. Yna cadarnhewch y llif a fwriadwyd a’r gwrthodiadau gofynnol o dan yr un set rheolau. Nid yw cadwyn wag newydd ag enw cyfarwydd yn atgyweiriad.

Mae’r gymhariaeth yn gorffen mewn un cwestiwn: pa fachyn y mae’r cnewyllyn yn ei alw mewn gwirionedd ar gyfer y pecyn hwn? Atebwch hynny, ac mae enw’r gadwyn yn peidio â bod o bwys.