Ní dhúnann rialacha balla dóiteáin NEW amháin gach cosán WAN

Is cosúil le beartas a dhúnann ar theip é diúltú do naisc amach nua ar an WAN, ach gealltanas níos cúinge é ná mar a fheictear. Ní thagann paicéid a bhaineann le sreabha atá ann cheana leis, agus ní thagann a lán freagraí ach an oiread. Is furasta an bhearna seo a fháil thar am mar léitear an riail amhail is go gclúdódh sí an chomhéadan agus ní staid naisc amháin air. Agus is é léamh an mheaitseála staid mar bhreith a chruthaíonn an mhothú bréige go bhfuil sé dúnta.

Is coinníoll meaitseála í an staid, ní breith

Rangaíonn rianú naisc paicéid de réir an méid atá feicthe ag an mballa dóiteáin cheana, ní de réir an méid a chreideann an feidhmchlár. Bíonn sreabhadh a fheictear sa dá threo bunaithe, agus fanann a phaicéid níos déanaí bunaithe fiú nuair a athraíonn an bealach thíos ó thollán go dtí an nasc suas rialta. Is féidir le freagra ar nasc isteach a bheith ina thrácht bunaithe freisin. Ní théann na paicéid sin nua arís choíche.

Sin é an fáth nach féidir le riail atá teoranta do naisc nua a chruthú go bhfuil gach paicéad cosanta bactha. Fágann sí na staideanna eile faoi cad a dhéanann an chuid eile den tacar rialacha leo, rud a d’fhéadfadh a bheith ina ghlacadh atá curtha níos luaithe sa slabhra.

Léigh an riail ina timpeallacht

Ligeann glacadh leathan don trácht bunaithe agus gaolmhar atá curtha roimh an mbloc do phaicéad dul tríd sula ndéantar an bloc a mheas ar chor ar bith. Ní athróidh baint an choinníll staid ó riail níos déanaí é sin, mar ní shroicheann an mheasúnú í riamh. Socróidh an t-ord an toradh, agus socróidh an mheaitseáil staid cé na paicéid a shroicheann an t-ord sin.

Scrúdaigh an tacar rialacha éifeachtach seachas an comhad a chuir tú in eagar, lena n-áirítear léimeanna isteach i slabhraí eile agus gach rud a ghineann an t-ardán. Ar ródaire a bhainistítear le iptables, taispeánann liostáil an tslabhra na sainmhínithe rialacha, agus caithfear na slabhraí a dtagraíonn sé dóibh a leanúint freisin. Teastaíonn ó chóras dúchasach nftables a thacar rialacha féin agus tosaíochtaí na gcruaiceanna a scrúdú, mar is annamh a ghineann firmware slabhraí comhionanna.

Insíonn áiritheoirí cé an riail a mheaitseáil i ndáiríre, agus is iondúil go mbíonn siad níos faisnéisí ná gabháil paicéad a thógtar tar éis an chinnidh. Níor sroicheadh riail a bhfuil a háiritheoir ag nialas, cibé rud a thugann a suíomh le tuiscint.

Cuir an toirmeasc in iúl go neamhspleách ar staid

Mura féidir le grúpa cliant an t-idirlíon a shroicheadh riamh lasmuigh den tollán, abair é go díreach in ionad é a chomhfhogasú le staid amháin. Caithfidh an riail roghnú de réir foinse, éalaithe agus cinn scríbe gan a bheith ag brath ar staid naisc, agus caithfidh sí suí san áit nach féidir le haon ghlacadh níos luaithe í a sheachaint. Ansin faigheann rochtain bhainistíochta agus eisceachtaí an líonra áitiúil a rialacha follasacha féin, ionas go bhfeictear an rún sa bheartas.

Athraíonn roghnú reject thar drop an chaoi a dteipeann ar an trácht meaitseála, agus ní mhéadaíonn sé an tacar paicéad a roghnaíonn an riail. Is comharthaí éagsúla iad nasc a dhiúltaítear agus teorainn ama chiúin a dhíríonn ar an roghnú céanna.

Is féidir beartas a cheadaíonn freagraí ar rochtain a thosaítear go cianda thar an WAN a chosaint. Níl le déanamh ach cur síos air mar sin in ionad é a chur i láthair mar leithlisiú iomlán tríd an tollán amháin.

Seiceáil cé atá sa ghrúpa i ndáiríre

Clúdaíonn an sampla trácht IPv4 a sheoltar ar aghaidh ó réimír amháin amach as comhéadan amháin. Ní deir sé faic faoi IPv6, faoi dhara nasc suas, ná faoin trácht a thosaíonn an ródaire féin. Seolann ródaire a fheidhmíonn mar réititheoir DNS a chuid ceisteanna suas féin, agus ní théann siadsan tríd an slabhra forward ar chor ar bith.

Deimhnigh go bhfuil seoltaí fós ag na cliaint chosanta laistigh den réimír roghnaithe, mar tá feiste a bhog amach as díreach de thimpiste agus ní de réir beartais. Bíonn claonadh freisin ag leathnú an bhloc go dtí an LAN iomlán gan athbhreithniú a dhéanamh ar dhearadh na n-eisceachtaí do chosán riaracháin féin a bhaint.

iptables -S FORWARD
iptables -L FORWARD -v -n
cat /proc/net/nf_conntrack | grep -c ESTABLISHED

Ansin tástáil sreabhadh sean taobh le ceann nua. Iompraíonn iarracht naisc úir agus aistriú déthreorach atá gníomhach cheana féin iad féin go difriúil faoin riail seo, agus ní thaispeánann ach tástáil an dá rud cén beartas atá agat i ndáiríre.