Marcio nftables a llwybro VPN: pa reol sy’n ennill mewn gwirionedd

Mae marc a osodir yn nftables i fod i anfon un dosbarth o draffig drwy’r twndwl, ac mae’r traffig yn dal i adael drwy’r rhyngwyneb corfforol. Mae’r set reolau’n edrych yn gywir ar ei phen ei hun. Yr hyn a ddigwyddodd fel arfer yw bod rhywbeth arall wedi ysgrifennu’r un marc, neu fod y reol llwybro’n cyfateb i fwgwd nad yw’r gwerth newydd yn ei fodloni mwyach.

Gwiriad 1: darllenwch y reol y mae’r cnewyllyn yn cyfateb iddi

Dechreuwch gyda’r reol polisi yn hytrach na’r mur tân. Mae’r cnewyllyn yn ymgynghori â’r reolau yn nhrefn blaenoriaeth a’r gyfatebiaeth gyntaf sy’n penderfynu’r tabl. Darllenwch werth fwmark a’r mwgwd o’r reol ei hun, yna cadarnhewch fod pecyn â’r marc a osodwyd gennych yn cyfateb iddi mewn gwirionedd. Ni fydd reol sy’n disgwyl gwerth 32-bit cyflawn yn cyfateb i becyn sy’n cario un bit yn unig.

Yna cadarnhewch pa dabl y mae’r reol honno’n ei ddewis a beth sydd yn y tabl. Mae reol sy’n pwyntio at dabl gwag yn cynhyrchu methiant chwilio, sydd ar lawer o systemau’n golygu bod y pecyn yn disgyn i’r reol nesaf ac allan drwy’r rhyngwyneb corfforol.

Mae dwy orchymyn yn setlo hyn: y rhestr reolau, a’r chwiliad llwybr ar gyfer y cyrchfan yn y tabl hwnnw.

Gwiriad 2: marc pecyn neu farc cysylltiad

Gall nftables osod marc ar y pecyn a marc ar y cofnod olrhain cysylltiadau, ac mae’r rhain yn wrthrychau gwahanol. Mae marc y pecyn yn byw am bas prosesu’r pecyn, tra bo marc y cysylltiad yn parhau am y llif ac yn rhaid ei gopïo’n fwriadol. Gosod un a disgwyl y llall yw hanner-atgyweiriad cyffredin.

Os yw’r reol llwybro’n dibynnu ar farc y pecyn, nid yw adfer marc y cysylltiad yn ddiweddarach ar y llwybr yn gwneud dim i’r penderfyniad hwnnw, oherwydd mae’r penderfyniad eisoes wedi digwydd.

Penderfynwch pa wrthrych sy’n berchen ar y signal llwybro, yna gosodwch ef ar y pwynt lle gwneir y penderfyniad llwybro.

Gwiriad 3: pwy arall sy’n ysgrifennu’r marc hwnnw

Mae offer WireGuard ei hun yn marcio ei becynnau UDP fel nad yw’r trafnidiaeth amgryptiedig yn cael ei llwybro’n ôl i’r twndwl y mae’n perthyn iddo. Os yw’ch set reolau’n neilltuo gwerth anghysylltiedig i’r un maes, mae’r eithriad hwnnw’n diflannu ac mae traffig allanol y twndwl yn ceisio mynd i mewn iddo’i hun. Y symptom yw twndwl sy’n sefydlu ac yna’n rhoi’r gorau i basio traffig.

Mae marciau hefyd yn cael eu defnyddio gan offer mur tân eraill, gan rwydweithio cynwysyddion a chan lwybro polisi at ddibenion eraill, felly mae dau is-system yn ysgrifennu’r maes cyfan yn wrthdaro hyd yn oed pan fo pob un yn gywir ar ei ben ei hun.

Rhestrwch yr ysgrifenwyr cyn ychwanegu un arall.

Gwiriad 4: y mwgwd sy’n penderfynu beth rydych yn ei gadw

Mae marc yn faes 32-bit, a mwgdau yw’r ffordd y mae sawl perchennog yn ei rannu. Mae gosod gwerth â mwgwd yn cadw’r bitiau nad ydych yn berchen arnynt; mae gosod y maes cyfan yn dinistrio rhai pawb arall. Darllenwch y mwgwd ym mhob reol sy’n cyffwrdd â’r maes, gan gynnwys y rhai na wnaethoch eu hysgrifennu.

Dogfennwch y dyrannu bitiau wrth ymyl y set reolau.

Fel arall bydd y person nesaf yn ailddefnyddio gwerth sydd eisoes â pherchennog, ac mae gwrthdaro yma’n edrych fel nam llwybro tra bo’n nam cyfeirio. Mae dogfennaeth nftables ar metadata pecynnau yn disgrifio’r gweithrediadau marc eu hunain.

Gwiriad 5: gwiriwch â llif go iawn, nid chwiliad

Nid yw chwiliad llwybr plaen yn cario marc, felly gall ddangos llwybr gwahanol i’r pecyn go iawn. Cynhyrchwch y traffig sy’n bwysig i chi a sylwch ar y cyfrifwyr, y cofnod olrhain cysylltiadau a’r rhyngwyneb y mae’n gadael drwyddo mewn gwirionedd. Profwch y dosbarth sydd wedi’i gynnwys a’r dosbarth sydd wedi’i eithrio, oherwydd mae marc sy’n rhy eang yn torri’r eithriad tra’n edrych yn llwyddiannus. Os yw’r dosbarth sydd wedi’i gynnwys yn gweithio ac mae’r dosbarth sydd wedi’i eithrio hefyd yn mynd i mewn i’r twndwl, mae’r marc yn rhy eang yn hytrach na rhy gul.

Osgoi fflysio cyflwr cysylltiadau i orfodi adnewyddiad yn ystod sesiwn byw, gan y gall llifau newydd a phresennol gymryd llwybrau gwahanol yn gyfreithlon.

Cofnodwch y marc, y mwgwd a’r tabl mewn un man, ac mae’r golygiad nesaf yn dod yn adolygadwy.