Zergatik VPN suebakiko kako batek arau bera bi aldiz gehitzen du

Kakoak lehen aldian funtzionatzen du, eta hiru berriz konektaturen ondoren kateak arau beraren hiru kopia gordetzen ditu. Ezer ez zen ozenki huts egin; scriptak besterik gabe egin zuen esan zitzaiona exekutatzen zen bakoitzean. VPN kako bat gehiago behin exekuta daitekeen konfigurazio eragiketa bat da, beraz jabe bat, nahi den egoera bat eta aldaketa serializatu bat behar ditu. Jarraitu ordena horri, eta bikoiztuek gelditzen dira.

Eman arauei jabe bat bat ere idatzi aurretik

Erabaki zein katet edo taulak duen integrazio honen jabetza arau bakarra idatzi aurretik. Kakoak sortu eta husten duen kate dedikatu bat jabetzaren formarik argiena da, garbiketak kate hori inoren politikari ukitu gabe kendu ahal izango baitu gero. Arauak kate partekatu batean gehitu behar badituzu, markatu komentario batekin, geroagoko bilaketa batek zehazki zureak aurki ditzan. Jabetzak egiten du desmuntatzea seguru, eta desmuntatzea da isilki huts egiten duen zatia.

iptables -N VPN_HOOK 2>/dev/null || true
iptables -C INPUT -j VPN_HOOK 2>/dev/null || iptables -I INPUT -j VPN_HOOK
iptables -S VPN_HOOK

Hemen komentarioa ez da apaingarria. Zure araua kentzearen eta kasualitatez antzeko itxura duen arau bat kentzearen arteko aldea da, eta gordetako arau-multzoan bizirik irauten du. Idatzi komentarioa behin aldagai batean eta erabili kate bera gehitzen, probatzen edo ezabatzen duen komando bakoitzean.

Probatu nahi den egoera berriro gehitu beharrean

Idatzi tunelean gora dagoen bitartean egon behar duena: zein interfaze, zein iturburu eta helmuga, zein protokolo eta zein portu. Ondoren adierazi arau bakoitza proba bat eta ondoren txertatze bat bezala, bigarren exekuzio batek araua aurki dezan eta ezer egin ez dezan. Egiaztapen-komandoa zerorekin irteten da araua dagoenean, eta hori da hain zuzen scriptak behar duen seinalea. iptables erreferentziak hemen erabiltzen diren egiaztapen, eranskin eta txertatze formak dokumentatzen ditu.

iptables -C VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT ||
  iptables -A VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT

Kontuz posizioarekin. Arau bat egiaztatzea eta goiburuan txertatzea lehenago zetorren ukapen deliberatu baten aurretik baimen bat mugi dezake, beraz bigarren exekuzioak portaera aldatzen du ezer gehitzen ez badu ere. Erantsi zure katearen barruan eta kontrolatu ordena kate horretarako jauzia non dagoen. Ordena katearen barruan garrantzitsua bada, berreraiki katea zerrenda ezagun batetik, arauz arau adabakitzen ibili beharrean.

Gelditu behar duzun araua proba egonkor gisa adierazi ezin bada. Horrek esan nahi du normalean nahi den egoera oraindik lausoa dela.

Serializatu aldaketa iraungo duen itxaron beharrean

Kakoaren bi deik elkar gaindi daitezke, eta biek arau falta ikus dezakete inork gehitu baino lehen. xtables-en itxarote-aukerak komando bat blokeoaren zain jartzen du, baina ez du egiaztatu eta gehitu segida atomikoa egiten bi komandoren artean. Serializatu eragiketa osoa zure blokeoarekin, edo erabili deklaratutako sorta transakzio bakar gisa aplikatzen duen kudeatzaile bat. nftables-ek azkena egin dezake, eta hori da han erabilgarri dagoen ostalarietan hura hobestearen arrazoi bat.

flock /run/vpn-hook.lock /usr/local/sbin/vpn-firewall-apply
nft -f /etc/nftables/vpn-hook.nft

Aukeratu mekanismoa, edozein dela ere, mantendu sekzio kritikoa labur eta egin berriz sartzeko modukoa: erdian huts egiten duen kakoa berriro exekutatzeko segurua izan behar da. Erregistratu emaitza, exekuzio errepikatu bat journalean ikusgaia izan dadin, arau-kontaketatik ondorioztatu beharrean. Bi gainbegirale desberdinek kakoa deitu badezakete, konpondu hori lehenengo; blokeo batek ez ditu bi jabe konpontzen.

Desmuntatu zurea dena baino ez

Desmuntatzeak ordezko konexio bat erretiratu duenetik bereiztu behar du, eta inoiz garbiketa goxorik jasoko ez duen gertaera bati eutsi behar dio. Ezabatu gehitzeko erabili zenituen identifikatzaile berberekin, eta ez hustu inoiz kate partekatu bat garbiketa errazteko. Geldialdi gogor baten ondoren, exekutatu adiskidetze-erronda hurrengo hasieran, beherako kakoa exekutatu zela suposatu beharrean.

iptables -D VPN_HOOK -i tun0 -p tcp --dport 443 -j ACCEPT
iptables -F VPN_HOOK
ip -brief link show type tun

Interfazearen bizitza diseinuaren parte da ere. Berriz konektatzeak beste izen bateko gailu bat sor dezake, beraz bigarren tunelaren izena gogorki kodetzen duen araua zaharkituta geratzen da, oraindik baliozkoa dirudien arren. Hobetsi konexioak berak azaltzen duen identitatea, eta irakurri berriro exekuzio bakoitzean. Probatu hiru gertaerak bereiz: konexio errepikatua, ordezko konexioa eta itzaltzea. Baimendutako trafikoak hirurak gainditu behar ditu bikoizturik gabe, eta erlaziorik gabeko zerbitzuek ukitu gabe jarraitu behar dute.

Ibilbidea amaitzen da kakoak jabe bat, gehitzen duen arau bakoitzerako proba bat, bide serializatu bat eta bere egoera bakarra kentzen duen desmuntatze bat dituenean. Bi aldiz exekutatzeko segurua den kako batek gehiago balio du behin argia den kako batek baino.