Mantendu nftables politika egonkor VPN interfazea iristen denean

Tunelak behin-behinekoak dira; politikak ez luke izan behar. Linux atebide batean, tunelaren interfazea izenez bat datorren nftables arau bat behin karga daiteke eta interfaze hori agertzen den bakoitzean aplikatzen jarraitzen du. Interfazeak oraindik bizi-ziklo bat du: sortzen da, desagertzen da, eta haren inguruko ibilbideek eta itzulpenek beren egutegia jarraitzen dute. Jabe horiek bereiztea da berrunezketa batean sarbidea egonkor mantentzen duena.

Izen bidezko bat-etortzeak interfazea baino gehiago irauten du

nftablesek interfazearen indizearen bat-etortze numerikoak eta izen bidezko bat-etortze dinamikoak eskaintzen ditu: iifname eta oifname. Izen horiek erabiltzen dituzten arauak garbi kargatzen dira tunel gailua oraindik sortu ez denean ere, eta hori da hain zuzen abioan arau-multzo batek behar duena. Bat-etortzea gelditu egiten da interfazea berrizendatzen bada, eta berriro hasten da interfaze berri batek izen hori hartzen duenean. Indize numerikoak ez du propietate hori, horregatik izen-forma da tunel batentzako ohiko aukera.

Izena bat-etortze giltza da, ez beste aldean nor dagoen frogatzeko ebidentzia. Parekidearen autentifikazioa VPNaren zeregina izaten jarraitzen du.

Irakurri katea arauak gehitu aurretik

Begiratu arau-multzoak orain zer duen eta arau berri bat non kokatuko litzatekeen, ordenak erabakitzen baitu emaitza.

nft list ruleset
nft -c -f /etc/nftables.conf

Zerrendak kateak, arauak eta heldulekuak erakusten ditu, eta egiaztapen moduak hautagai-fitxategi bat baliozkotzen du kargatu gabe. Fluxu bererako lehenagoko onarpen baten ondoren jarritako tunelerako bakarrik den baimenak ez du ezer aldatzen, lehen bat datozen arauak irabazten baitu. Horregatik berandu iritsitako arau bat zuzena izan daiteke eta inolako eraginik ez izan. Irakurri katea ordenan eta egiaztatu bezeroaren trafikoa gorako estekara ukatzeak oraindik zabalago den edozer baino lehenago jarraitzen duela.

Ibilbideek, itzulpenak eta fluxuek beste jabe batzuk dituzte

Interfazearen presentziak ez du ibilbiderik sortzen eta ez du parekidea autentifikatzen. Horiek VPN kudeatzailearenak dira, eta itzulpenak hirugarren bizi-ziklo bat du.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack zerrendak lehendik dauden fluxuak erakusten ditu haien jatorrizko eta itzulitako balioekin, eta ibilbide zerrendak kudeatzaileak interfazerako instalatu duena erakusten du. NAT arauek konexio-jarraipen egoera lehen paketean ezartzen dute, beraz ezarritako fluxu batek bere itzulpena mantentzen du araua aldatu ondoren ere. Horregatik arau bat eguneratzea eta bide berria erabiltzen duen fluxu bat bi baieztapen desberdin dira. Erabaki zein saio berriro konektatu behar diren eta utzi erlaziorik gabeko fluxuak bakean.

Onartu abio hotza, galera eta berreskuratzea

Proba ezazu atebidea tunela abioan falta denean, gero hura dagoenean, eta gero etenaldi baten eta itzultze baten ondoren. Egiaztatu debekatutako birbidalketa debekatuta jarraitzen duela tunela falta den bitartean, baimendutako fluxu berri batek parekidea autentifikatu ondoren funtzionatzen duela, eta berreskuratzeak ez duela erlaziorik gabeko egoera garbitzea eskatzen. Ez ezabatu POSTROUTING katea osoa edo conntrack sarrera bakoitza profil baten gelditze-ekintza gisa, beste zerbitzuek partekatzen baitituzte. Erregistratu zein osagaik aldatu zuen interfazea, ibilbidea eta politika, eta ez soilik abio-kako batek zeroz irten zuela.

Berrunezketa bati irauteko politika jabeak izendatuta dituen eta arauak tunela jaitsita eta igota probatu diren politika da. Arrakasta jakinarazten duen kako batek kakoa exekutatu zela besterik ez du frogatzen.