Ahela nimi ei ole konks: iptables versus nftables

Mõlemad tulemüürid suudavad filtreerida edastatavat VPN-liiklust ning kinnitavad reeglid paketi teekonnale erineval viisil. iptablesil on tabeli sees sisseehitatud ahelad, seega FORWARD on olemas nimega konksupunktina. nftables eraldab ahela nime selle tüübist, konksust ja prioriteedist, mis tähendab, et FORWARD-nimeline tavaline ahel ei filtreeri üldse midagi. Kahe mudeli võrdlemine selgitab, miks kirje, mis ühes tööriistas tundub õige, teises mingit mõju ei avalda.

Ahel on mahuti. Kas tuum seda vaatab, sõltub teostusest ja sellest, kuidas reeglistik selle kinnitab.

Kaks mudelit, kaks erinevat kinnitust

iptablesis pakub filter-tabel kolme sisseehitatud ahelat, INPUT, FORWARD ja OUTPUT, ning -N loob kasutaja määratud ahela, mis mõjub alles siis, kui sinna mõnest neist hüpatakse. nftablesi käsiraamat määratleb selle asemel baasahelad, mis deklareerivad oma tüübi, konksu ja prioriteedi, ning tavalised ahelad, mis seda ei tee. Baasahel võib kanda ükskõik millist nime ja FORWARD-nimeline tavaline ahel ei saa oma sildist mingeid omadusi. See ongi kogu erinevus ja see on nähtamatu õpetuses, mis näitab ainult reeglite teksti.

Ühilduvuskihid lisavad teise põhjuse mitte tuletada käitumist käsukäsu nimest. iptablesi dokumentatsioon nimetab toiminguid, mis erinevad iptables-nft all, seega käsitlege loomulikku nftablesit, iptables-nft-d ja vana reeglistikku kolme süsteemina, mitte ühe kolme kirjaviisina.

Lugege viga selle tegelikus kontekstis

Puuduv tabel, õiguste tõrge, kättesaamatu tuuma funktsioon ja puuduv nimega ahel on neli erinevat leidu ning ainult üks puudutab ahelat. Kirjutage üles tööriista versioon, küsitud aadressiperekond ja tabel, võrgu nimeruum ning esimene täpne viga. Seejärel kontrollige, milline komponent reeglistikku omab: tulemüüriteenus või toote hallatav lüüs võib luua oma ahelad ja järjestuse. Loomuliku ahela lisamine nende kõrvale jätab hallatava poliitika puutumata ja muudab inventuuri veel segasemaks.

Konteineri nimeruum võib sisaldada hostist erinevat reeglistikku, seega vales kontekstis käivitatud käsk ei saa näidata, milline ahel edastatud paketti nägi. Õiguste tõstmine sellepärast, et oodatud ahel ei olnud nähtav, ei ole diagnoos.

Loendurid tõestavad ulatust, mitte otsust

Reegliloendurid ütlevad teile, et reeglini jõuti. Need ei ütle, et hilisem reegel toimingu lubas, ega tõesta, et kõik alternatiivsed teed keelati. Lugege neid ühe kahjutu lubatud voo ajal koos reeglite järjestuse ja ahela kinnitusega ning käsitlege neid ühe vaatlusena, mitte otsusena. Nullist erinev loendur tagasilükkamise reeglil tähendab, et liiklus tabas seda; see ei ütle midagi liikluse kohta, mis ei tabanud.

IP-edastus tuumas on täiesti eraldi seade. Ahela olemasolu ei lülita edastust sisse ja tuttava sildi puudumine ei tähenda, et edastus lakkas.

Kirjeldage voogu, mida kavatsete kaitsta

Kirjutage üles üks kliendipäring pärast dekapsuleerimist: selle allikas, sihtkoht, aadressiperekond ning kas see lõpeb lüüsil või läbib seda. Kohaliku teenuse sisend ja edastatav liiklus vaadeldakse erinevates punktides, seega vajavad need erinevaid reegleid ja erinevaid teste. Sillatud VPN-i puhul kontrollige ka silla teekonda, sest IP-tasandi ahel ei kontrolli Etherneti kaadreid automaatselt.

Enne kauglüüsi muutmist hoidke alles sõltumatu taastamisjuurdepääs. Seejärel kinnitage kavandatud voog ja vajalikud keelud sama reeglistiku all. Uus tühi tuttava nimega ahel ei ole parandus.

Võrdlus lõpeb ühe küsimusega: millist konksu tuum selle paketi jaoks tegelikult kutsub? Vastake sellele ja ahela nimi lakkab olemast tähtis.