nftables: cuir an riail cheadaithe VPN isteach roimh láimhseáil an titim

Cuir riail cheadaithe in áit mhícheart agus iompraíonn sí féin mar nach mbeadh aon riail cheadaithe ann. In nftables socraíonn an rogha idir insert agus add cén taobh de riail thagartha a dtagann an ráiteas nua air, agus ainmníonn láimhseáil an riail sa tsraith rialacha bheo seachas a huimhir ró. Má théann an socrú mícheart, sroicheann an paicéad an titim ar dtús.

Úsáideann an chomparáid thíos piara amháin seasta agus malartú amháin éisteora sheachtraigh. Tá sé cúng d’aon ghnó; is athrú eile é slabhra iomlán a athsholáthar, le próifíl riosca eile.

Dhá shocrú, dhá thoradh éagsúla

Cuireann insert riail roimh an riail thagartha. Cuireann add í ina diaidh. Más é an riail thagartha an titim chríochnaitheach don sreabhadh, tá na torthaí contrártha óna chéile ón dá ordú sin, fiú nuair atá téacs na rialach comhionann.

Tá a iompar réamhshocraithe féin ag baint le suíomh a fhágáil ar lár, agus is cúis eile é sin gan ordú a chóipeáil ó fhóram gan léamh cad chuige a bhfuil sé aincreáilte. Is é an t-aincré an cinneadh ar fad. Scríobh an taobh beartaithe síos sula gclóscríobhann tú an t-ordú. Tá insert agus add focal amháin óna chéile sa chomhad.

Tá an socrú coibhneasta le riail i slabhra ar leith. Má aistrítear an ráiteas céanna go slabhra eile nó go dtí tosaíocht hook eile, athraíonn sé na paicéid a fheiceann sé, fiú nuair a bhíonn comhréir na rialach ceart.

Aithníonn láimhseáil riail, ní huimhir líne

Is aitheantóir é láimhseáil ar nós 42 i staid reatha na sraithe rialacha. Ní hé an dara riail is daichead é, agus níl sé cobhsaí thar óstach, atógáil nó bainisteoir a athlódálann a chumraíocht.

Aimsigh an slabhra agus an titim chríochnaitheach iarbhír sula roghnaíonn tú an t-aincré. Ansin deimhnigh an láimhseáil ar an riail sin sa liosta céanna a thaispeánann an titim, ionas go léitear an uimhir agus an riail le chéile. D’fhéadfadh láimhseáil a léitear ó sheanliosta a bheith ag riail eile cheana féin. Léigh arís í sa seisiún a chuirfidh an t-athrú i bhfeidhm.

iptables --version
nft -a list ruleset

Tugann leagan iptables le fios cén inneall cúil atá in úsáid. Is féidir le sraith rialacha iptables-nft agus tábla dúchais a bhainistítear go neamhspleách a bheith ann le chéile, mar sin ní hé liosta ó aghaidh amháin an pictiúr iomlán scagtha go huathoibríoch. Seiceáil an dá radharc sula roghnaíonn tú slabhra.

Aimsigh an slabhra agus an riail a thiteann i ndáiríre

Léigh an hook ionchuir, tosaíocht an tslabhra agus an riail a dhiúltaíonn don sreabhadh éisteora seo. Is féidir le tábla inet an dá theaghlach seoladh a iompar, ach is féidir le riail aonair fós teacht le IPv4 amháin.

Tóg piara ceadaithe amháin, ag úsáid 198.51.100.25 ón raon doiciméadúcháin mar shampla. D’fhéadfadh comhad dúchais athbhreithnithe ceadú seachtrach a chur roimh láimhseáil 42:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Athsholáthair an teaghlach, an tábla, an slabhra, an láimhseáil, an comhéadan ionchuir agus an piara tar éis iniúchta. Úsáideann an sampla an fhoirm suímh láimhseála atá doiciméadaithe do nft 1.0.9, agus baineann sé le comhad ionchuir; is ábhar ar leith é luachan braces nuair a chlóscríobhtar an t-ordú go hidirghníomhach.

Coinnigh úinéir na cumraíochta soiléir. Is féidir le bainisteoir a atógann a rialacha eagarthóireacht ama rite a fhorscríobh, agus teipfidh ar script tosaithe a dhéanann láimhseáil sean ort nó greamóidh sé don riail mhícheart.

Tá an ceadú scópthe, tá an titim críochnaitheach

Cuireann breith cheadaithe deireadh le meastóireacht ar a chonair reatha, ach is féidir le bunslabhra infheidhme níos déanaí an paicéad a thitim fós. Tá breith titime críochnaitheach. Sin é an fáth nach cruthúnas é áiritheoir ceadaithe atá ag ardú gur éirigh leis an sreabhadh.

Iniúch gach tosaíocht hook ábhartha seachas slabhra amháin ina aonar. Is féidir le paicéad scagaire ionchuir a rith agus fós diúltú dó ag hook tábla eile ag tosaíocht dhifriúil. Liostaigh gach bunslabhra a fheiceann an sreabhadh.

Ní chlúdaíonn an riail sin ach malartú an éisteora sheachtraigh. Teastaíonn a mbeartais féin ó ESP imchochlaithe iompair, ESP dúchais, piaraí IPv6 agus an trácht díchriptithe taobh istigh den tollán. Ní balla dóiteáin VPN suímh iomlán é.

Seiceáil an comhad, ansin fíoraigh an toradh beo

Rith seiceáil chomhréire agus idirbhirt ar an gcomhad athbhreithnithe sula gcuirfidh tú i bhfeidhm é. Tuairiscíonn mód seiceála an féidir le nft an t-athrú a pharsáil agus a ullmhú; ní chuireann sé i bhfeidhm é agus ní chruthaíonn sé go gceadóidh hook eile an paicéad. Fanann an comhad ina thogra go dtí go gcuireann an t-úinéir i bhfeidhm é:

nft -c -f reviewed-vpn-rule.nft

Cuir i bhfeidhm trí phróiseas rialaithe an úinéara agus caomhnaigh rochtain téarnaimh. Má tá an riail mícheart, féadfaidh an titim a raibh tú ag iarraidh teacht roimhe an chonair a úsáideann tú chun í a cheartú a ghearradh freisin.

Tar éis an athraithe, breathnaigh iarracht nua piara ceadaithe agus seiceáil go ndiúltaítear fós d’fhoinsí lasmuigh den phiara ceadaithe. Bog an riail mharthanach chuig pé bainisteoir a shealbhaíonn an tsraith rialacha, mar aimsíonn láimhseálacha ama rite na rudaí reatha in ionad iad a aithint thar am tosaithe.