nftables-en markak eta VPN bideratzea: zein arauk irabazten du benetan

nftables-en jarritako marka batek trafiko klase bat tunelatik bidali beharko luke, baina trafikoak interfaze fisikoetatik irteten jarraitzen du. Arau multzoak ondo ematen du bakarrean. Normalean gertatu dena hau da: beste zerbait izan da marka bera idatzi duena, edo bideratze-arauak balio berriak jada betetzen ez duen maskara batekin bat egiten du.

Egiaztapena 1: irakurri kernelarekin bat egiten duen araua

Hasi politikaren arautik, ez suhiltzailetik. Kernelak arauak lehentasun ordenan aztertzen ditu eta lehen bat-etortzeak erabakitzen du taula. Irakurri fwmark balioa eta maskara arautik bertatik, eta gero egiaztatu jarri duzun marka duen pakete bat benetan bat egiten duela. 32 biteko balio osoa espero duen arau batek ez du bat egingo bit bakarra daraman pakete batekin.

Gero egiaztatu arau horrek zein taula hautatzen duen eta taulak zer duen. Taula huts batera seinalatzen duen arau batek bilaketa huts bat sortzen du, eta horrek sistema askotan esan nahi du paketea hurrengo araura erortzen dela eta interfaze fisikotik ateratzen dela.

Bi komandok konpontzen dute hau: arauen zerrendak eta taula horretako helmugarako bide-bilaketak.

Egiaztapena 2: paketearen marka edo konexioaren marka

nftables-ek marka bat jar dezake paketean eta marka bat konexioen jarraipen-erregistroan, eta objektu desberdinak dira. Paketearen marka paketearen prozesatze-pasaldian zehar bizi da, konexioaren marka fluxuarentzat irauten duen bitartean eta nahita kopiatu behar da. Bata jarri eta bestea espero izatea ohiko erdi-konponketa da.

Bideratze-araua paketearen markan oinarritzen bada, konexioaren marka bidean beranduago berreskuratzeak ez du ezer egiten erabaki horretarako, erabakia jada hartu baita.

Erabaki zein objektuk duen bideratze-seinalea, eta gero jarri bideratze-erabakia hartzen den puntuan.

Egiaztapena 3: nork idazten du marka hori beste

WireGuard-en tresnek beren UDP paketeak markatzen dituzte, zifratutako garraioa dagokion tunelera itzul ez dadin. Zure arau multzoak eremu berari erlaziorik gabeko balio bat esleitzen badio, bazterketa hori desagertu egiten da eta tunelaren kanpoko trafikoak bere buruan sartzen saiatzen da. Sintoma ezartzen den eta gero trafikoa pasatzeari uzten dion tunel bat da.

Markak beste suhiltzaile tresna batzuek, edukiontzien sareak eta politikaren bideratzeak beste helburu batzuetarako ere erabiltzen dituzte, beraz bi azpisistemek eremu osoa idaztea gatazka da, bakoitza bere aldetik zuzena denean ere.

Zerrendatu idazleak beste bat gehitu aurretik.

Egiaztapena 4: maskarak erabakitzen du zer gordetzen duzun

Marka bat 32 biteko eremu bat da, eta maskarak hainbat jabeek partekatzeko modua dira. Maskararekin balio bat jartzeak ez dituzun bitak gordetzen ditu; eremu osoa jartzeak beste guztien bitak suntsitzen ditu. Irakurri maskara eremua ukitzen duen arau bakoitzean, idatzi ez dituzunetan barne.

Dokumentatu biten esleipena arau multzoaren ondoan.

Bestela hurrengo pertsonak jada jabea duen balio bat berrerabiliko du, eta hemen gatazka bat bideratze-errore gisa agertzen da helbideratze-errorea den bitartean. nftables-en pakete-metadatuen dokumentazioak marka-eragiketak berak deskribatzen ditu.

Egiaztapena 5: egiaztatu fluxu erreal batekin, ez bilaketa batekin

Bide-bilaketa soil batek ez du markarik eramaten, beraz pakete errealak ez duen bide bat erakuts dezake. Sortu interesatzen zaizun trafikoa eta behatu kontagailuak, konexioen jarraipen-erregistroa eta benetan irteten den interfazea. Probatu sartutako klasea eta baztertutako klasea, marka bat oso zabala denean bazterketa hausten baitu arrakastatsua emanez. Sartutako klasea funtzionatzen badu eta baztertutako klasea ere tunelera sartzen bada, marka zabalegia da eta ez estuegia.

Saihestu konexio-egoera garbitzea bizirik dagoen saio batean freskatzea behartzeko, fluxu berriek eta lehendik daudenek legez bide desberdinak har ditzaketelako.

Erregistratu marka, maskara eta taula leku bakarrean, eta hurrengo aldaketa berrikusgarria bihurtuko da.