Coinnigh polasaí nftables seasmhach agus an comhéadan VPN ag teacht

Tá tunail indiúscartha; níor cheart go mbeadh polasaí amhlaidh. Ar gheata Linux is féidir riail nftables a mheaitseálann comhéadan an tunail de réir ainm a lódáil uair amháin agus leanann sí ag feidhmiú gach uair a thagann an comhéadan sin chun solais. Tá timthriall saoil ag an gcomhéadan fós: cruthaítear é, imíonn sé, agus leanann na bealaí agus na haistriúcháin timpeall air a sceideal féin. Is é scaradh na n-úinéirí sin a choinníonn rochtain seasmhach le linn athnascaidh.

Maireann meaitseáil ainm níos faide ná an comhéadan

Tairgeann nftables meaitseálacha uimhriúla innéacs comhéadain agus na meaitseálacha ainm dinimiciúla iifname agus oifname. Lódáiltear rialacha a úsáideann na hainmneacha sin go glan fiú nuair nach bhfuil gléas an tunail cruthaithe fós, rud atá go díreach ag teastáil ó thacar rialacha ag an am tosaithe. Stopann sé ag meaitseáil má athainmnítear an comhéadan agus atosaítear é nuair a ghlacann comhéadan nua an t-ainm sin. Níl an t-airí sin ag innéacs uimhriúil, agus dá bhrí sin is é an fhoirm ainm an rogha is gnáth le haghaidh tunail.

Is eochair mheaitseála é an t-ainm, ní fianaise é faoi cé atá ag an gceann eile. Fanann fíordheimhniú an phiara mar obair an VPN.

Léigh an tslabhra sula gcuireann tú rialacha leis

Féach cad atá sa tacar rialacha anois agus cá seasfadh riail nua, mar is é an t-ord a shocraíonn an toradh.

nft list ruleset
nft -c -f /etc/nftables.conf

Taispeánann an liosta slabhraí, rialacha agus láimhseálaí, agus deimhníonn an modh seiceála comhad iarrthach gan é a lódáil. Ní athraíonn cead don tunail amháin a chuirtear tar éis glactha níos luaithe don sreabhadh céanna aon rud, mar is í an chéad riail a mheaitseálann a bhuann. Dá bhrí sin féadann riail dhéanach breathnú ceart agus gan aon éifeacht a bheith aici. Léigh an tslabhra in ord agus deimhnigh go dtagann an toirmeasc ar thrácht ón gcliaint go dtí an nasc uachtarach fós roimh aon rud níos leithne.

Tá úinéirí eile ag bealaí, aistriúchán agus sreafaí

Ní chruthaíonn láithreacht comhéadain aon bhealaí agus ní fhíordheimníonn sí an piara. Baineann siadsan le bainisteoir an VPN, agus tá tríú timthriall saoil ag an aistriúchán.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Taispeánann liosta conntrack na sreafaí reatha lena luachanna bunaidh agus aistrithe, agus taispeánann liosta na mbealaí cad a shuiteáil an bainisteoir don chomhéadan. Bunaíonn rialacha NAT staid rianaithe naisc ar an gcéad phaicéad, mar sin coinníonn sreabhadh bunaithe a aistriúchán fiú tar éis an riail a athrú. Dá bhrí sin is dhá ráiteas éagsúla iad riail atá á nuashonrú agus sreabhadh a úsáideann an bealach nua. Socraigh cé na seisiúin a chaithfidh athnascadh agus fág sreafaí neamhghaolmhara i suaimhneas.

Glac le fuarthosach, cailliúint agus aisghabháil

Tástáil an geata agus an tunail as láthair ag am tosaithe, ansin i láthair, ansin tar éis briseadh agus filleadh. Deimhnigh go bhfanann an t-ardúchán toirmiscthe toirmiscthe agus an tunail ar iarraidh, go n-oibríonn sreabhadh nua ceadaithe a luaithe a fhíordheimnítear an piara, agus nach n-éilíonn aisghabháil staid neamhghaolmhar a ghlanadh. Ná glan an tslabhra POSTROUTING ar fad ná gach iontráil conntrack mar ghníomh stoptha próifíle amháin, mar roinneann seirbhísí eile iad. Taifead cén comhpháirt a d'athraigh an comhéadan, an bealach agus an polasaí, seach nach ndearna crúca tosaithe ach éirí le nialas.

Is é an polasaí a mhaireann trí athnascadh ná ceann a bhfuil a úinéirí ainmnithe agus a rialacha tástáilte leis an tunail araon síos agus suas. Ní chruthaíonn crúca a thuairiscíonn rath ach go ndeachaigh an crúca i bhfeidhm.