Níl athrú riail an bhalla dhóite ag obair: ord na riálacha agus staid an cheangail

Chuir tú an riail in eagar, d'athlódáil tú an rialtas, agus tá an tollán ag feidhmiú go díreach mar a bhí roimhe. Tá dhá chúis choitianta leis an toradh sin, agus teastaíonn trialacha éagsúla leo. Bíonn an riail nua suite tar éis riail níos luaithe a ghlac an paicéad cheana féin, nó is ceangal rianaithe é an malartú a bhfuil tú ag faire air nach ndéanann an t-athrú athmheas riamh air. Cuireann riail i gcomhad intinn in iúl; is é an bealach gníomhach a chastar uirthi a shocraíonn cinniúint an phaicéid. Téigh trí na seiceálacha thíos in ord, agus coinnigh bealach ar ais agus tú á dhéanamh.

Is lochtanna éagsúla iad ord na riálacha agus staid an cheangail

Déantar slabhraí ordaithne a mheas ó bharr go bun, agus cuireann an chéad riail a shroicheann breithiúnas críochnaitheach deireadh leis an siúl tríd an slabhra sin. Cuir glacadh leathan os cionn riail ghlasála a scríobhadh go cúramach, agus éiríonn an riail ghlasála ina doiciméadú: tá sí sa rialtas, tá a cuntar ag nialas, agus ní shroichfidh aon phaicéad í choíche. Ní chruthaíonn an téacs céanna a chuirtear i bhfeidhm ar shlabhra eile aon rud ach an oiread. I nftables ceanglaítear slabhraí bonn le crúcaí ag tosaíochtaí, mar sin ní choisceann glacadh i slabhra amháin slabhra eile ar chrúca nó tosaíocht eile an paicéad céanna a fheiceáil.

Cruthaíonn rianú ceangal an dara siomptóm, agus ón taobh amuigh breathnaíonn sé díreach mar an gcéanna. Nuair a bhíonn sruth sa tábla staid, filleann glacadh do established-or-related gar do bharr an tslabhra sula ndeantar do riail nua a cheadú ar chor ar bith. Tá an airí chéanna ag mapálacha NAT: socraíodh an aistriúchán nuair a thosaigh an sruth, mar sin ní athscríobhann riail postrouting a cuireadh in eagar seisiún atá ag rith cheana féin. Sin an fáth go bhfeictear athrú ag obair ag 09:00 do cheangal nua agus go bhfeictear nach ndéanann sé aon rud don seisiún a d'oscail duine éigin ag 08:55.

Cuireann grúpaí slándála scamall tríú múnla leis a ghlacann daoine a d'fhoghlaim ar iptables. Is liosta ceadaithe iad a riálacha isteach a ndéantar measúnú air mar thacair seachas mar shiúl ag an gcéad mheaitseáil, tá siad stáideach, agus ní chuireann baint riail cheadaithe deireadh le sruthanna atá á rianú cheana. Má ghlactar le séimeolaíocht na céad mheaitseála ar ardán nach bhfuil sí aige, tagann conclúidí muiníneacha míchruinne.

Léigh an rialtas gníomhach, ní an comhad a chuir tú in eagar

Tosaigh leis an méid atá an eithne ag forfheidhmiú anois díreach. Míníonn cumraíocht shábháilte nár cuireadh i bhfeidhm riamh líon iontach iompraíochtaí gan athrú, agus ní chosnaíonn sé ach aon ordú amháin í a chur as an áireamh:

nft list ruleset
iptables-save

Ansin fiafraigh an sroichtear do riail ar chor ar bith. Freagraíonn cuntair phaicéad sin go díreach, agus freagraíonn siad níos fearr ná aon réasúnaíocht faoi intinn:

iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forward

Ní fadhb bheartais í riail ghlasála gan aon phaicéad tar éis iarracht trialach fhíor, is fadhb suímh í. Is athrú líne amháin í a bogadh, agus is í an chomhréir go díreach an rud a chruthaigh an bunfhabht. Le iptables -I cuireann sé isteach agus -A cuireann sé leis ag an deireadh; le nftables insert cuireann sé riail ag tús an tslabhra agus add cuireann sé leis ag an deireadh. Nuair a chaithfidh riail buachan, abair é go sainráite in ionad brath ar an ord a lódáladh de thaisme.

Cruthaigh cé acu an bhfuil an sruth á rianú

Sula gcuirfidh tú an milleán ar an riail, seiceáil an ceangal rianaithe é an trácht ar chor ar bith. Fiafraigh den tábla staid faoin sruth ar leith in ionad é a dhumpáil ar fad:

conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194

Taispeánann an liosta an staid agus an t-am atá fágtha, agus is mar sin a dhéanann tú idirdhealú idir seisiún bunaithe agus iarracht úr; priontálann an modh imeachtaí nuashonruithe agus iad ag tarlú, rud atá úsáideach agus tú ag athnascadh cliant. Má tá an sruth i láthair le staid bhunaithe sula ndearna tú teagmháil le haon rud, ní athróidh aon eagarthóireacht ar na riálacha scagtha a chinniúint. Ní fabht sa bhalla dóite é sin, is é conradh na scagtha stáidí é.

Seas in aghaidh an aicearra an tábla ar fad a shruthlú ar gheata táirgthe. conntrack -F ar fáil, agus scriosann sé gach sruth rianaithe ar an mbosca freisin, lena n-áirítear an seisiún bainistíochta as a bhfuil tú ag obair agus an tollán a iompraíonn do bhlaosc. Is féidir iontrálacha aonair a scriosadh nuair a bhíonn siad de dhíth ort i ndáiríre, ach is gnách gur turgnamh níos glaine é sruth úr ó phort foinse nua.

Ní rianaitear roinnt bealaí, agus iompraíonn siad a mhalairt. Trácht atá marcáilte mar notrack sa tábla raw, roinnt tollán a sheachnaíonn na gnáthchrúcaí, agus ródú neamhshiméadrach a roinneann sruth idir dhá gheata, cruthaíonn siad uile paicéid a mheastar ceann ar cheann, nó staid nach gcruthaítear riamh ag an dá cheann. Má ghluaiseann na cuntair do gach paicéad, bíodh amhras agat faoin gcineál sin bealaigh sula mbeidh amhras agat faoin ord.

Tástáil ó shruth úr le bealach ar ais

Sula dtástálann tú riail a d'fhéadfadh rochtain chian a ghearradh, bunaigh bealach aisghabhála: consól an tsoláthraí, consól sraitheach, seoladh bainistíochta lasmuigh den bhanda, nó dara comhéadan nach féidir leis an riail a bhualadh. Is compánach réasúnach é amadóir rollbhaic, ós rud é go n-athshocróidh sé an rialtas roimhe seo fiú má fhaigheann do sheisiún bás i lár na trialach.

Ansin tástáil le malartú nach bhféadfadh an staid a bheith clúdaithe cheana. Díphlugáil agus athnasc an cliant ionas go gcruthófar cúigear nua, agus féach ar an dá cheann agus é ag tarlú:

tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pager

Rith an triail sa dá threo. Is féidir le riail a chuireann bac ar an lámhchroitheadh isteach nua an bealach freagartha a cheadú fós, nó a mhalairt, agus is é toradh aon-treo an chúis is gnách go n-oibríonn glasáil a leath. Athnasc uair amháin eile tar éis na trialach chun an staid sheasmhach a dheimhniú, agus seiceáil gur mhair rochtain bhainistíochta dhlisteanaí; tá sé de nós ag riail a scríobhadh d'aon phort teacht ar raon níos leithne ná mar a bhí beartaithe.

Taifead cuspóir agus suíomh leis an riail

Is riail nach leomhfaidh aon duine a bhaint í riail gan cuspóir taifeadta. Coinnigh in aice le gach iontráil ghlasála an sruth a chosnaíonn sí, an slabhra agus an crúca ina bhfuil sí ina cónaí, an suíomh a chaithfidh sí a choinneáil i leith glacadh níos leithne, agus an triail a chruthaigh é. Nuair a chuirfidh duine an rialtas máguaird in eagar sé mhí níos déanaí, is é an nóta sin an t-aon rabhadh go raibh an suíomh d'aon ghnó.

Sula ndúnfaidh tú an t-athrú, deimhnigh ceithre rud: tagann an rialtas atá ag rith leis an gcomhad, tá cuntair nach nialas iad ag an riail nua tar éis iarrachta úir, oibríonn an treo droim ar ais agus an rochtain bhainistíochta fós, agus d'athnasc tú uair amháin chun an staid sheasmhach a chruthú seachas staid seisiúin atá níos sine ná an t-athrú. Má tá aon cheann de sin gan fíorú, níl an t-athrú críochnaithe, is cuma cad atá an tollán a dhéanamh.