nftables: set de VPN-tolittingsregel foar de drop-hânfetting

Pleatse in tolittingsregel op it ferkearde plak en hy hâldt him as wie der gjin tolittingsregel. Yn nftables beslút de kar tusken insert en add oan hokker kant fan in ferwiisde regel de nije útspraak telâne komt, en in hânfetting neamt de regel yn ’e libbene regelset ynstee fan syn rigelnûmer. Krijst it pleatsen ferkeard, dan berikt it pakket earst de drop.

De ferliking hjirûnder brûkt ien fêste peir en ien bûtenste harker-útwikseling. It is bewust smel; it ferfangen fan in hiele keatling is in oare feroaring mei in oar risikoprofyl.

Twa pleatsings, twa ferskillende útkomsten

insert pleatst in regel foar de ferwiisde regel. add pleatst him dêrnei. As de ferwiisde regel de terminale drop foar de stream is, jouwe dy twa opdrachten tsjinoerstelde resultaten, sels as de regeltekt identyk is.

It weilitten fan in lokaasje hat syn eigen standertgedrach, wat noch in reden is om in opdracht fan in forum net te kopiearjen sûnder te lêzen wêroan’t er ferankere is. De anker is de hiele beslissing. Skriuw de bedoelde kant op foardat jo de opdracht typje. insert en add ferskille ien wurd yn it bestân.

It pleatsen is relatyf oan in regel yn in spesifike keatling. It ferpleatsen fan deselde útspraak nei in oare keatling of in oare hook-prioriteit feroaret hokker pakketten er sjocht, sels as de syntaksis fan ’e regel korrekt liket.

In hânfetting identifisearret in regel, net in rigelnûmer

In hânfetting lykas 42 is in identifikaasje yn ’e hjoeddeiske steat fan ’e regelset. It is net de twaenfjirtichste regel, en it is net stabyl oer hosts, werbou of in behearder dy’t syn konfiguraasje opnij laden.

Fyn de keatling en de werklike terminale drop foardat jo it anker kieze. Befêstigje dan de hânfetting op dy regel yn deselde list dy’t de drop toant, sadat it nûmer en de regel tegearre lêzen wurde. In hânfetting lêzen út in âlde list kin al by in oare regel hearre. Lês him opnij yn ’e sesje dy’t de feroaring tapast.

iptables --version
nft -a list ruleset

De iptables-ferzje meldt hokker backend brûkt wurdt. In iptables-nft-regelset en in ûnôfhinklik beheard nativen tabel kinne njonkeninoar bestean, dus in list fan ien frontend is net automatysk it folsleine filterbyld. Kontrolearje beide werjeften foardat jo in keatling kieze.

Fyn de keatling en de regel dy’t echt dropt

Lês de input-hook, de prioriteit fan ’e keatling en de regel dy’t dizze harker-stream wegeret. In inet-tabel kin beide adresfamyljes drage, mar in yndividuele regel kin noch altyd allinnich IPv4 matchje.

Nim ien goedkarde peir, mei 198.51.100.25 út it dokumintaasjeberik as foarbyld. In neisjoen nativen bestân koe in bûtenste tolitting foar hânfetting 42 pleatse:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Ferfang de famylje, tabel, keatling, hânfetting, yngeande interface en peir nei ynspeksje. It foarbyld brûkt de hânfetting-lokaasje-foarm dy’t foar nft 1.0.9 dokumintearre is, en dy heart yn in ynfierbestân; it oanheljen fan bôgen is in aparte kwestje as de opdracht ynteraktyf typt wurdt.

Hâld de eigner fan ’e konfiguraasje dúdlik. In behearder dy’t syn regels werbouwt kin in wiziging yn ’e rin oerskriuwe, en in opstartskript dat in ferâldere hânfetting hurd kodearret sil of mislearje of oan ’e ferkearde regel heakje.

Tolitting is beheind, in drop is terminaal

In tolittingsútspraak einiget de evaluaasje op syn hjoeddeiske paad, mar in letter tapasbere basiskeatling kin it pakket noch altyd droppe. In drop-útspraak is terminaal. Dêrom is in tanimmende tolittingsteller gjin bewiis dat de stream slagge is.

Ynspektearje alle relevante hook-prioriteiten ynstee fan ien keatling isolearre. In pakket kin in inputfilter passe en dochs troch de hook fan in oare tabel op in oare prioriteit wegere wurde. Lis elke basiskeatling op dy’t de stream sjen kin.

Dy regel dekt allinnich de bûtenste harker-útwikseling. Transport-ynkapsulearre ESP, nativen ESP, IPv6-peirs en it ûntsifere ferkear binnen de tunnel hawwe allegear har eigen belied nedich. It is gjin folsleine site-VPN-firewall.

Kontrolearje it bestân en ferifiearje dan it libbene resultaat

Run in syntaksis- en transaksjekontrôle op it neisjoene bestân foardat jo it tapasse. Kontrôlemodus meldt oft nft de feroaring parse en tariede kin; it tapast dy net ta en bewiist net dat in oare hook it pakket talitte sil. It bestân bliuwt in foarstel oant de eigner it tapast:

nft -c -f reviewed-vpn-rule.nft

Tapasse fia it kontrolearre proses fan ’e eigner en behâld wersteltoegong. As de regel ferkeard is, kin de drop dêr’t jo foar besochten te kommen ek it paad trochsnieze dat jo brûke om him te reparearjen.

Nei de feroaring, observearje in nije tastiene peir-poging en kontrolearje dat boarnen bûten it goedkarde peir noch altyd wegere wurde. Ferpleats de duorsume regel nei de behearder dy’t de regelset besit, want hânfettings yn ’e rin lokaliseare hjoeddeiske objekten ynstee fan se oer opstarten hinne te identifisearjen.