Cadwch bolisi nftables yn sefydlog wrth i ryngwyneb VPN ddod

Mae twneli'n darfod; ni ddylai polisi fod felly. Ar borth Linux gellir llwytho rheol nftables sy'n cyfateb i ryngwyneb y twnnel wrth ei enw unwaith, a bydd yn parhau i fod yn berthnasol bob tro y bydd y rhyngwyneb hwnnw'n ymddangos. Mae gan y rhyngwyneb gylch bywyd o hyd: fe'i crëir, mae'n diflannu, ac mae'r llwybrau a'r cyfieithiadau o'i gwmpas yn dilyn eu hamserlen eu hunain. Gwahanu'r perchnogion hynny sy'n cadw mynediad yn sefydlog yn ystod ailgysylltu.

Mae cyfatebiaeth enw yn goroesi'r rhyngwyneb

Mae nftables yn cynnig cyfatebiaethau rhifol mynegai rhyngwyneb a'r cyfatebiaethau enw deinamig iifname ac oifname. Mae rheolau sy'n defnyddio'r enwau hynny'n llwytho'n lân hyd yn oed pan nad yw'r ddyfais twnnel wedi'i chreu eto, sef yn union yr hyn sydd ei angen ar set rheolau adeg cychwyn. Mae'n stopio cyfateb os caiff y rhyngwyneb ei ailenwi ac yn ailddechrau pan fydd rhyngwyneb newydd yn cymryd yr enw hwnnw. Nid oes gan fynegai rhifol y briodwedd honno, a dyna pam mai'r ffurf enw yw'r dewis arferol ar gyfer twnnel.

Mae'r enw'n allwedd cyfateb, nid yn dystiolaeth o pwy sydd yr ochr arall. Mae dilysu'r cymar yn parhau'n waith y VPN.

Darllenwch y gadwyn cyn ychwanegu rheolau

Edrychwch ar yr hyn sydd yn y set rheolau nawr ac ar ble y byddai rheol newydd yn eistedd, oherwydd y drefn sy'n penderfynu'r canlyniad.

nft list ruleset
nft -c -f /etc/nftables.conf

Mae'r rhestr yn dangos cadwyni, rheolau a dolenni, ac mae'r modd gwirio'n dilysu ffeil ymgeisydd heb ei llwytho. Nid yw caniatâd i'r twnnel yn unig a osodir ar ôl derbyniad cynharach ar gyfer yr un ffrwd yn newid dim, oherwydd y rheol gyntaf sy'n cyfateb sy'n ennill. Dyna pam y gall rheol hwyr edrych yn gywir a heb unrhyw effaith. Darllenwch y gadwyn yn ei threfn a chadarnhewch fod y gwaharddiad ar draffig cleient-i-fyny yn dal i ddod o flaen unrhyw beth ehangach.

Mae gan lwybrau, cyfieithu a ffrydiau berchnogion eraill

Nid yw presenoldeb rhyngwyneb yn creu llwybrau, ac nid yw'n dilysu'r cymar. Mae'r rheini'n eiddo i reolwr y VPN, tra mae gan gyfieithu drydydd cylch bywyd.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Mae rhestr conntrack yn dangos y ffrydiau presennol gyda'u gwerthoedd gwreiddiol a chyfieithiedig, ac mae rhestr llwybrau'n dangos yr hyn a osododd y rheolwr ar gyfer y rhyngwyneb. Mae rheolau NAT yn sefydlu cyflwr olrhain cysylltiad ar y pecyn cyntaf, felly mae ffrwd sefydledig yn cadw ei chyfieithiad hyd yn oed ar ôl i'r rheol newid. Dyna pam mae rheol sy'n cael ei diweddaru a ffrwd sy'n defnyddio'r llwybr newydd yn ddatganiadau gwahanol. Penderfynwch pa sesiynau sy'n rhaid ailgysylltu a gadewch ffrydiau di-gysylltiad yn llonydd.

Derbyniwch gychwyn oer, colled ac adferiad

Profwch y porth gyda'r twnnel yn absennol wrth gychwyn, yna gyda fo'n bresennol, yna ar ôl diffyg a dychweliad. Cadarnhewch fod anfon ymlaen gwaharddedig yn parhau'n wrthodedig tra bo'r twnnel ar goll, bod ffrwd newydd a ganiateir yn gweithio unwaith y bydd y cymar wedi'i ddilysu, ac nad yw adferiad yn gofyn am glirio cyflwr di-gysylltiad. Peidiwch â chlirio'r gadwyn POSTROUTING gyfan na phob cofnod conntrack fel gweithred stopio un proffil, oherwydd mae gwasanaethau eraill yn eu rhannu. Cofnodwch pa gydran a newidiodd y rhyngwyneb, y llwybr a'r polisi, yn hytrach nag yn unig fod bachyn cychwyn wedi gadael gyda sero.

Polisi sy'n goroesi ailgysylltiad yw un y mae ei berchnogion wedi'u henwi a'i reolau wedi'u profi gyda'r twnnel i lawr ac i fyny. Nid yw bachyn sy'n adrodd llwyddiant yn profi dim ond bod y bachyn wedi rhedeg.