nftables: sartu VPN baimen-araua baztertzeko heldulekuaren aurretik

Jarri baimen-arau bat leku okerrean eta ez dagoen arau baten gisa jokatzen du. nftables-en, insert eta add arteko aukerak erabakitzen du zein aldetan geratuko den erreferentziatutako arauaren alde batean adierazpen berria, eta helduleku batek araua izendatzen du zuzeneko arau-multzoan, ez bere errenkada-zenbakia. Kokapena oker badago, paketea baztertzera iristen da lehenengo.

Beheko konparazioak pare katu bat eta kanpoko entzule-truke bat erabiltzen ditu. Nahita estua da; kate oso bat ordezkatzea beste aldaketa bat da, arrisku-profil desberdina duena.

Bi kokapen, bi emaitza desberdin

insert araua erreferentziatutako arauaren aurretik jartzen du. add haren ondoren jartzen du. Erreferentziatutako araua fluxuaren amaierako baztertzea bada, bi komando horiek kontrako emaitzak ematen dituzte arauaren testua berdina izan arren.

Kokapen bat ezabatzeak bere jokabide lehenetsia du, eta hori arrazoi gehiago da foro batetik komando bat ez kopiatzeko, zerri lotuta dagoen irakurri gabe. Aingura da erabaki osoa. Idatzi nahi den aldea komandoa idatzi aurretik. insert eta add hitz bat bereizten dira fitxategian.

Kokapena kate zehatz bateko arau baten erlatiboa da. Adierazpen bera beste kate batera edo beste hook-lehentasun batera mugitzeak aldatzen du zein pakete ikusten dituen, arauaren sintaxia zuzena ematen duenean ere.

Helduleku batek arau bat identifikatzen du, ez lerro-zenbaki bat

42 bezalako helduleku bat identifikatzailea da arau-multzoaren uneko egoeran. Ez da berrogeita bigarren araua, eta ez da egonkorra ostalarien, berreraikuntzen edo bere konfigurazioa berriro kargatzen duen kudeatzaile baten artean.

Aurkitu katea eta benetako amaierako baztertzea aingura hautatu aurretik. Gero berretsi heldulekua arau horretan, baztertzea erakusten duen zerrenda berean, zenbakia eta araua elkarrekin irakur daitezen. Zerrenda zahar batetik irakurritako heldulekua beste arau bati dagokio jada. Irakurri berriro aldaketa aplikatuko duen saioan.

iptables --version
nft -a list ruleset

iptables bertsioak zein backend erabiltzen den adierazten du. iptables-nft arau-multzo bat eta modu independentean kudeatutako jatorrizko taula bat elkarrekin egon daitezke, beraz frontend bakarreko zerrenda bat ez da automatikoki iragazketaren irudi osoa. Egiaztatu bi ikuspegiak kate bat hautatu aurretik.

Aurkitu benetan baztertzen duen katea eta araua

Irakurri sarrera-hooka, katearen lehentasuna eta entzule-fluxu hau ukatzen duen araua. inet taula batek bi helbide-familia eraman ditzake, baina arau indibidual batek oraindik IPv4-rekin bakarrik egin dezake bat.

Hartu onartutako pare katu bat, dokumentazio-barrutiko 198.51.100.25 adibide gisa erabiliz. Berrikusitako jatorrizko fitxategi batek kanpoko baimena jar lezake 42 heldulekuaren aurretik:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Ordeztu familia, taula, katea, heldulekua, sarrera-interfazea eta pare katua ikuskatu ondoren. Adibideak nft 1.0.9rako dokumentatutako helduleku-kokapen forma erabiltzen du, eta sarrera-fitxategi batean doa; giltzen aipamenak gai bereizia dira komandoa modu interaktiboan idazten denean.

Eduki argi konfigurazioaren jabea. Bere arauak berreraikitzen dituen kudeatzaile batek exekuzio-denboreko edizio bat gainidatz dezake, eta helduleku zaharkitua gogor kodetzen duen abio-script batek huts egingo du edo arau okerrean itsatsiko da.

Onarpenak esparrua du, baztertzea amaierakoa da

Onarpen-epai batek ebaluazioa amaitzen du bere uneko bidean, baina geroago aplikagarria den oinarrizko kate batek paketea oraindik bazter dezake. Baztertze-epaia amaierakoa da. Horregatik, onarpen-kontagailu gorakor bat ez da fluxua lortu izanaren froga.

Aztertu hook-lehentasun garrantzitsu guztiak kate bat bakarka aztertu beharrean. Pakete bat sarrera-iragazki bat pasa eta beste taula baten hook-ak lehentasun desberdin batean uka dezake. Zerrendatu fluxua ikus dezakeen oinarrizko kate bakoitza.

Arau horrek kanpoko entzule-trukea soilik estaltzen du. Garraioaren bidez kapsulatutako ESP, jatorrizko ESP, IPv6 pare katuak eta tunelaren barneko deskifratutako trafikoak guztiek beren politikak behar dituzte. Ez da gune VPN su-hesi oso bat.

Egiaztatu fitxategia eta gero baliozkotu zuzeneko emaitza

Exekutatu sintaxi- eta transakzio-egiaztapen bat berrikusitako fitxategian aplikatu aurretik. Egiaztapen moduak adierazten du nft-k aldaketa analizatu eta presta dezakeen; ez du aplikatzen eta ez du frogatzen beste hook batek paketea onartuko duenik. Fitxategia proposamen bat da jabeak aplikatzen duen arte:

nft -c -f reviewed-vpn-rule.nft

Aplikatu jabearen prozesu kontrolatuaren bidez eta gorde berreskuratze-sarbidea. Araua oker badago, aurre hartu nahi zenion baztertzeak konpontzeko erabiltzen duzun bidea ere moz dezake.

Aldaketaren ondoren, behatu onartutako pare katu baten saiakera berria eta egiaztatu onartutako pare katutik kanpoko iturriak oraindik ukatzen direla. Eraman arau iraunkorra arau-multzoaren jabe den kudeatzailera, exekuzio-denboreko heldulekuek uneko objektuak kokatzen baitituzte, abioen artean identifikatu beharrean.