Kate-izena ez da kako bat: iptables nftablesen aurka

Bi suebakiek VPN trafiko birbidalia iragazi dezakete, eta arauak paketearen bideari modu ezberdinetan lotzen dizkiote. iptablesek taula baten barruan kate integratuak ditu, beraz FORWARD izeneko kako-puntu gisa existitzen da. nftablesek kate baten izena bere motatik, kakotik eta lehentasunetik bereizten ditu, eta horrek esan nahi du FORWARD izeneko kate arruntak ez duela ezer iragazten. Bi modeloak alderatzeak azaltzen du zergatik tresna batean zuzena dirudien sarrera batek ez duen eraginik bestean.

Katea edukiontzi bat da. Nukleoak hura aztertzen duen ala ez inplementazioaren eta arau-multzoak nola lotzen duen araberakoa da.

Bi modelo, bi lotura desberdin

iptablesen filter taulak hiru kate integratu ematen ditu, INPUT, FORWARD eta OUTPUT, eta -N erabiltzaileak definitutako kate bat sortzen du, haietako batetik jauzi egiten denean soilik eragiten duena. nftablesen eskuliburuak, ordea, oinarrizko kateak definitzen ditu, haien mota, kakotik eta lehentasuna adierazten dituztenak, eta kate arruntak, hori egiten ez dutenak. Oinarrizko kateak nahi duzun edozein izen har dezake, eta FORWARD izeneko kate arruntak ez du ezaugarritik lortzen bere etiketatik. Hori da alde osoa, eta arauen testua bakarrik erakusten duen tutorial batean ikusezina da.

Bateragarritasun-backendek bigarren arrazoi bat gehitzen dute komando-izen batetik portaera ondorioztatu ez dadin. iptablesen dokumentazioak iptables-nft pean desberdinak diren eragiketak aipatzen ditu, beraz tratatu nftables natiboa, iptables-nft eta arau-multzo zaharra hiru sistema gisa, eta ez baten hiru idazkera gisa.

Irakurri errorea bere testuinguru errealean

Falta den taula bat, baimen hutsegite bat, erabilgarri ez den nukleo-facilitate bat eta falta den izeneko kate bat lau aurkikuntza desberdin dira, eta bakarra da kateari buruzkoa. Idatzi tresnaren bertsioa, eskatutako helbide-familia eta taula, sareko izen-espazioa eta lehen errore zehatza. Gero egiaztatu zein osagaik duen arau-multzoaren jabetza: suebaki-zerbitzu batek edo produktuak kudeatutako atebide batek bere kateak eta ordena sor ditzake. Haien ondoan kate natibo bat gehitzeak kudeatutako politika ukitu gabe uzten du eta inbentarioa are nahasgarriagoa egiten du.

Edukiontzi baten izen-espazioak ostalariarena ez bezalako arau-multzoa izan dezake, beraz testuinguru okerrean exekutatutako komando batek ezin du erakutsi zein katek ikusi zuen pakete birbidalia. Kate espero bat ikusgai ez zegoelako pribilegioak igotzea ez da diagnostiko bat.

Kontagailuek irismena frogatzen dute, ez epaia

Arau-kontagailuek arau batera iritsi zela esaten dizute. Ez dizute esaten geroagoko arau batek eragiketa baimendu zuenik, eta ez dute frogatzen bide alternatibo guztiak ukatu zirenik. Irakurri itzazu fluxu baimendu kaltegabe batean zehar, arauen ordenarekin eta katearen loturarekin batera, eta trata itzazu behaketa bat gisa, ez epai gisa. Baztertzeko arau batean zero ez den kontagailu batek trafikoak hura jo zuela esan nahi du; ez du ezer esaten jo ez zuen trafikoaz.

Nukleoan IP birbidalketa erabat aparteko ezarpena da. Kate bat existitzeak ez du birbidalketa gaitzen, eta ezaguna den etiketa bat ez egoteak ez du esan nahi birbidalketa gelditu denik.

Deskribatu babestu nahi duzun fluxua

Idatzi desenkapsulazioaren ondorengo bezero-eskaera bat: haren jatorria, helburua, helbide-familia, eta atebidean amaitzen den edo hortik pasatzen den. Zerbitzu lokalaren sarrera eta trafiko birbidalia puntu desberdinetan behatzen dira, beraz arau eta proba desberdinak behar dituzte. Zubizko VPN baterako, egiaztatu zubiaren bidea ere, IP mailako kate batek ez baitu Ethernet markoak automatikoki kontrolatzen.

Mantendu berreskuratze-sarbide independentea urrutiko atebide bat aldatu aurretik. Gero berretsi aurreikusitako fluxua eta beharrezko ukapenak arau-multzo berean. Izen ezaguneko kate huts berri bat ez da konponketa bat.

Konparazioa galdera batean amaitzen da: zein kako deitzen du nukleoak benetan pakete honetarako? Erantzun horri, eta kate-izenak garrantzia izateari uzten dio.