nftables: mewnosodwch reol caniatáu VPN cyn dolenn y gollwng

Rhowch reol caniatáu yn y safle anghywir ac mae’n ymddwyn fel pe na bai rheol o gwbl. Yn nftables mae’r dewis rhwng insert ac add yn penderfynu pa ochr i reol gyfeiriedig y bydd y datganiad newydd yn glanio, ac mae dolenn yn enwi’r reol yn y set reolau byw yn hytrach na’i rhif rhes. Os bydd y lleoliad yn anghywir, cyrhaedda’r pecyn y gollwng yn gyntaf.

Mae’r gymhariaeth isod yn defnyddio un cymar sefydlog ac un cyfnewidiad gwrandawr allanol. Mae’n fwriadol gul; mae disodli cadwyn gyfan yn newid gwahanol â phroffil risg gwahanol.

Dau leoliad, dau ganlyniad gwahanol

Mae insert yn gosod rheol cyn y reol gyfeiriedig. Mae add yn ei gosod ar ei hôl. Os y reol gyfeiriedig yw’r gollwng derfynol ar gyfer y llif, mae’r ddau orchymyn hynny’n rhoi canlyniadau cyferbyniol er bod testun y reol yn union yr un fath.

Mae hepgor lleoliad yn cael ei ymddygiad diofyn ei hun, sy’n rheswm arall dros beidio â chopïo gorchymyn o fforwm heb ddarllen beth y mae’n angori iddo. Yr angor yw’r penderfyniad cyfan. Ysgrifennwch yr ochr a fwriedir cyn i chi deipio’r gorchymyn. Mae insert ac add un gair ar wahân yn y ffeil.

Mae’r lleoliad yn gymharol â rheol mewn cadwyn benodol. Mae symud yr un datganiad i gadwyn arall neu flaenoriaeth hook arall yn newid pa becynnau y mae’n eu gweld, hyd yn oed pan fydd cystrawen y reol yn edrych yn gywir.

Mae dolenn yn nodi rheol, nid rhif llinell

Mae dolenn fel 42 yn ddynodwr yng nghyflwr presennol y set reolau. Nid y bedwaredd reol ar ddeg ar hugain mohoni, ac nid yw’n sefydlog ar draws gwesteiwyr, ailadeiladau na rheolwr sy’n ail-lwytho ei ffurfweddiad.

Dewch o hyd i’r gadwyn a’r gollwng derfynol wirioneddol cyn dewis yr angor. Yna cadarnhewch y ddolenn ar y reol honno yn yr un rhestr sy’n dangos y gollwng, fel bod y rhif a’r reol yn cael eu darllen gyda’i gilydd. Gall dolenn a ddarllenwyd o restr hen eisoes berthyn i reol arall. Ailddarllenwch hi yn y sesiwn a fydd yn cymhwyso’r newid.

iptables --version
nft -a list ruleset

Mae fersiwn iptables yn nodi pa weinydd cefn sy’n cael ei ddefnyddio. Gall set reolau iptables-nft a thabl brodorol a reolir yn annibynnol gydfodoli, felly nid yw rhestr o un rhyngwyneb blaen yn awtomatig yn y darlun hidlo cyflawn. Gwiriwch y ddwy olwg cyn dewis cadwyn.

Dewch o hyd i’r gadwyn a’r reol sy’n gollwng mewn gwirionedd

Darllenwch y hook mewnbwn, blaenoriaeth y gadwyn a’r reol sy’n gwrthod y llif gwrandawr hwn. Gall tabl inet gario’r ddwy deulu cyfeiriad, ond gall rheol unigol barhau i gyfateb i IPv4 yn unig.

Cymerwch un cymar a gymeradwywyd, gan ddefnyddio 198.51.100.25 o’r ystod dogfennaeth fel enghraifft. Gallai ffeil frodorol a adolygwyd osod caniatâd allanol cyn dolenn 42:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Amnewidiwch y teulu, y tabl, y gadwyn, y ddolenn, y rhyngwyneb mewnddyfodiad a’r cymar ar ôl archwilio. Mae’r enghraifft yn defnyddio’r ffurf lleoliad-dolenn a ddogfennwyd ar gyfer nft 1.0.9, ac mae’n perthyn mewn ffeil fewnbwn; mae dyfynnu cyfyngau yn fater ar wahân pan deipir y gorchymyn yn rhyngweithiol.

Cadwch berchennog y ffurfweddiad yn glir. Gall rheolwr sy’n ailadeiladu ei reolau drosysgrifo golygiad amser rhedeg, a bydd sgript gychwyn sy’n codio dolenn hen yn galed naill ai’n methu neu’n cysylltu â’r reol anghywir.

Mae caniatáu wedi’i gwmpasu, mae gollwng yn derfynol

Mae dedfryd caniatáu yn dod â gwerthuso i ben yn ei lwybr presennol, ond gall cadwyn sylfaen berthnasol hwyrach ddal i ollwng y pecyn. Mae dedfryd gollwng yn derfynol. Dyna pam nad yw cownter caniatáu sy’n codi yn brawf bod y llif wedi llwyddo.

Archwiliwch bob blaenoriaeth hook berthnasol yn hytrach nag un gadwyn ar ei phen ei hun. Gall pecyn basio hidlydd mewnbwn ac eto gael ei wrthod gan hook tabl arall ar flaenoriaeth wahanol. Rhestrwch bob cadwyn sylfaen a all weld y llif.

Mae’r reol honno’n cwmpasu cyfnewidiad y gwrandawr allanol yn unig. Mae ESP a amgylchynwyd gan gludiant, ESP brodorol, cymariaid IPv6 a’r traffig dadgryptio y tu mewn i’r twnnel i gyd angen polisïau eu hunain. Nid yw’n wal dân VPN safle gyflawn.

Gwiriwch y ffeil, yna dilyswch y canlyniad byw

Rhedwch wiriad cystrawen a thrafodiad ar y ffeil a adolygwyd cyn ei chymhwyso. Mae modd gwirio’n nodi a all nft ddadansoddi a llwyfannu’r newid; nid yw’n ei gymhwyso ac nid yw’n profi y bydd hook arall yn caniatáu’r pecyn. Mae’r ffeil yn parhau’n gynnig nes i’r perchennog ei chymhwyso:

nft -c -f reviewed-vpn-rule.nft

Cymhwyswch drwy broses reoledig y perchennog a chadwch fynediad adfer. Os yw’r reol yn anghywir, gall y gollwng yr oeddech yn ceisio ei rhagflaenu dorri’r llwybr a ddefnyddiwch i’w thrwsio hefyd.

Ar ôl y newid, arsylwch ymgais cymar newydd a ganiatawyd a gwiriwch fod ffynonellau y tu allan i’r cymar a gymeradwywyd yn dal i gael eu gwrthod. Symudwch y reol barhaol i ba bynnag reolwr sy’n berchen ar y set reolau, oherwydd mae dolennau amser rhedeg yn lleoli gwrthrychau presennol yn hytrach na’u nodi ar draws cychwyn.