ચેનનું નામ હૂક નથી: iptables સામે nftables

બંને ફાયરવોલ ફોરવર્ડ થતા VPN ટ્રાફિકને ફિલ્ટર કરી શકે છે, અને તેઓ પેકેટના માર્ગ સાથે નિયમો જુદી જુદી રીતે જોડે છે. iptablesમાં ટેબલની અંદર અંદરની ચેન હોય છે, તેથી FORWARD નામનું હૂક બિંદુ અસ્તિત્વમાં છે. nftables ચેનનું નામ તેના પ્રકાર, હૂક અને પ્રાથમિકતાથી અલગ કરે છે, એટલે કે FORWARD નામની સામાન્ય ચેન કંઈપણ ફિલ્ટર કરતી નથી. બંને મોડેલની સરખામણી સમજાવે છે કે એક સાધનમાં સાચી લાગતી એન્ટ્રી બીજામાં શા માટે કોઈ અસર કરતી નથી.

ચેન એક પાત્ર છે. કર્નલ તેને જુએ છે કે નહીં તે અમલીકરણ પર અને નિયમસમૂહ તેને કેવી રીતે જોડે છે તેના પર આધાર રાખે છે.

બે મોડેલ, બે જુદા જોડાણ

iptablesમાં filter ટેબલ ત્રણ અંદરની ચેન આપે છે—INPUT, FORWARD અને OUTPUT—અને -N વપરાશકર્તા-વ્યાખ્યાયિત ચેન બનાવે છે જે ત્યારે જ કામ કરે છે જ્યારે તેમાંથી કોઈ એકમાંથી તેના પર કૂદકો મારવામાં આવે. nftablesનું માર્ગદર્શિકા તેના બદલે આધાર ચેન વ્યાખ્યાયિત કરે છે, જે તેમનો પ્રકાર, હૂક અને પ્રાથમિકતા જાહેર કરે છે, અને સામાન્ય ચેન, જે એવું કરતી નથી. આધાર ચેન તમે ઇચ્છો તે કોઈપણ નામ ધરાવી શકે છે, અને FORWARD નામની સામાન્ય ચેનને તેના લેબલથી કોઈ ગુણ મળતો નથી. આખો ફરક આ જ છે, અને ફક્ત નિયમનું લખાણ બતાવતા ટ્યુટોરિયલમાં તે અદૃશ્ય છે.

સુસંગતતા બેકએન્ડ બીજું કારણ ઉમેરે છે કે આદેશના નામ પરથી વર્તન અનુમાન ન કરવું. iptablesનું દસ્તાવેજીકરણ એવી ક્રિયાઓ નોંધે છે જે iptables-nft હેઠળ અલગ પડે છે, તેથી મૂળ nftables, iptables-nft અને જૂના નિયમસમૂહને એકની ત્રણ જોડણી નહીં, ત્રણ સિસ્ટમ ગણો.

ભૂલને તેના વાસ્તવિક સંદર્ભમાં વાંચો

ગુમ થયેલ ટેબલ, પરવાનગી નિષ્ફળતા, ઉપલબ્ધ ન હોય તેવી કર્નલ સુવિધા અને ગુમ થયેલ નામવાળી ચેન—એ ચાર જુદા અવલોકનો છે, અને ફક્ત એક ચેન વિશે છે. સાધનની આવૃત્તિ, માંગેલ સરનામા કુટુંબ અને ટેબલ, નેટવર્ક નામસ્થાન અને પ્રથમ ચોક્કસ ભૂલ નોંધો. પછી ચકાસો કે નિયમસમૂહ કયા ઘટકના માલિકીનો છે: ફાયરવોલ સેવા કે ઉત્પાદન-સંચાલિત ગેટવે પોતાની ચેન અને ક્રમ બનાવી શકે છે. તેમની બાજુમાં મૂળ ચેન ઉમેરવાથી સંચાલિત નીતિ અસ્પૃષ્ટ રહે છે અને યાદી વધુ ગૂંચવણભરી બને છે.

કન્ટેનરનું નામસ્થાન યજમાન કરતાં જુદો નિયમસમૂહ ધરાવી શકે છે, તેથી ખોટા સંદર્ભમાં ચલાવેલ આદેશ બતાવી શકતો નથી કે કઈ ચેને ફોરવર્ડ થયેલ પેકેટ જોયું. અપેક્ષિત ચેન દેખાતી ન હતી તેથી વિશેષાધિકાર વધારવો નિદાન નથી.

કાઉન્ટર પહોંચ સાબિત કરે છે, ચુકાદો નહીં

નિયમના કાઉન્ટર તમને કહે છે કે નિયમ સુધી પહોંચાયું. તેઓ કહેતા નથી કે પછીના નિયમે ક્રિયાને મંજૂરી આપી, અને સાબિત કરતા નથી કે દરેક વૈકલ્પિક માર્ગ નકારવામાં આવ્યો. એક નિરુપદ્રવ મંજૂર પ્રવાહ દરમિયાન નિયમના ક્રમ અને ચેનના જોડાણ સાથે તેમને વાંચો, અને ચુકાદા તરીકે નહીં પણ એક અવલોકન તરીકે ગણો. નિકાલ નિયમ પર શૂન્યેતર કાઉન્ટર એટલે ટ્રાફિક તેના પર પડ્યો; જે ટ્રાફિક પડ્યો નહીં તે વિશે તે કંઈ કહેતું નથી.

કર્નલમાં IP ફોરવર્ડિંગ સંપૂર્ણ અલગ સેટિંગ છે. ચેન હોવી એ ફોરવર્ડિંગ સક્ષમ કરતું નથી, અને પરિચિત લેબલ ગેરહાજર હોવાનો અર્થ એ નથી કે ફોરવર્ડિંગ થંભી ગયું.

તમે જે પ્રવાહને રક્ષણ આપવા માંગો છો તેનું વર્ણન કરો

ડિકેપ્સ્યુલેશન પછીની એક ક્લાયન્ટ વિનંતી લખો: તેનું સ્રોત, લક્ષ્ય, સરનામા કુટુંબ, અને તે ગેટવે પર સમાપ્ત થાય છે કે તેમાંથી પસાર થાય છે. સ્થાનિક સેવાનું ઇનપુટ અને ફોરવર્ડ થયેલ ટ્રાફિક જુદા જુદા બિંદુઓ પર જોવા મળે છે, તેથી તેમને જુદા નિયમો અને જુદા પરીક્ષણોની જરૂર છે. બ્રિજ કરેલ VPN માટે બ્રિજનો માર્ગ પણ ચકાસો, કારણ કે IP સ્તરની ચેન Ethernet ફ્રેમને આપોઆપ નિયંત્રિત કરતી નથી.

દૂરસ્થ ગેટવે બદલતા પહેલાં સ્વતંત્ર પુનઃપ્રાપ્તિ પ્રવેશ સાચવો. પછી એ જ નિયમસમૂહ હેઠળ ઇચ્છિત પ્રવાહ અને જરૂરી નકારની ખાતરી કરો. પરિચિત નામવાળી નવી ખાલી ચેન સમારકામ નથી.

સરખામણી એક પ્રશ્ન પર પૂરી થાય છે: આ પેકેટ માટે કર્નલ ખરેખર કયો હૂક બોલાવે છે? તેનો જવાબ આપો, અને ચેનનું નામ મહત્ત્વનું રહેતું નથી.