VPN ઇન્ટરફેસ આવે ત્યારે nftables નીતિ સ્થિર રાખો

ટનલ સામયિક છે; નીતિ એવી ન હોવી જોઈએ. Linux ગેટવે પર જે nftables નિયમ ટનલ ઇન્ટરફેસને નામ પરથી મેળવે છે તે એક વાર લોડ કરી શકાય છે અને તે ઇન્ટરફેસ દર વખતે આવે ત્યારે લાગુ થતો રહે છે. ઇન્ટરફેસ હજી પણ જીવનચક્ર ધરાવે છે: તે બને છે, જાય છે, અને તેની આસપાસના માર્ગો અને અનુવાદો પોતાનું સમયપત્રક અનુસરે છે. આ માલિકોને અલગ કરવાથી જ ફરી જોડાણ દરમિયાન પ્રવેશ સ્થિર રહે છે.

નામની જોડ ઇન્ટરફેસ કરતાં વધુ ટકે છે

nftables સંખ્યાત્મક ઇન્ટરફેસ-ઇન્ડેક્સ જોડ અને ગતિશીલ નામ-જોડ iifname અને oifname આપે છે. આ નામો વાપરતા નિયમો ટનલ ઉપકરણ હજી બન્યું ન હોય ત્યારે પણ ચોખ્ખા લોડ થાય છે, જે બૂટ વખતે નિયમસેટને બરાબર એ જ જોઈએ. ઇન્ટરફેસનું નામ બદલાય તો જોડ બંધ થાય છે અને નવું ઇન્ટરફેસ એ નામ લે ત્યારે ફરી શરૂ થાય છે. સંખ્યાત્મક ઇન્ડેક્સમાં એ ગુણ નથી, તેથી ટનલ માટે નામનું સ્વરૂપ સામાન્ય પસંદગી છે.

નામ જોડની ચાવી છે, બીજા છેડે કોણ છે તેનો પુરાવો નથી. સાથીની ઓળખચકાસણી VPNનું કામ જ રહે છે.

નિયમો ઉમેરતાં પહેલાં સાંકળ વાંચો

નિયમસેટમાં હાલ શું છે અને નવો નિયમ ક્યાં બેસશે તે જુઓ, કારણ કે ક્રમ જ પરિણામ નક્કી કરે છે.

nft list ruleset
nft -c -f /etc/nftables.conf

યાદી સાંકળો, નિયમો અને હેન્ડલ દેખાડે છે, અને ચકાસણી મોડ ઉમેદવાર ફાઇલને લોડ કર્યા વિના માન્ય ઠેરવે છે. એ જ પ્રવાહ માટે અગાઉની સ્વીકૃતિ પછી મૂકાયેલી ફક્ત-ટનલ પરવાનગી કંઈ બદલતી નથી, કારણ કે પહેલો મળતો નિયમ જ જીતે છે. તેથી મોડો નિયમ સાચો દેખાય પણ કોઈ અસર ન કરે. સાંકળ ક્રમમાં વાંચો અને ખાતરી કરો કે ક્લાઇન્ટથી અપલિંક તરફના ટ્રાફિકનો નિષેધ હજી પણ કોઈપણ વિશાળ નિયમ પહેલાં આવે છે.

માર્ગો, અનુવાદ અને પ્રવાહોના બીજા માલિકો છે

ઇન્ટરફેસની હાજરી કોઈ માર્ગ બનાવતી નથી અને સાથીની ઓળખ ચકાસતી નથી. એ VPN મેનેજરના છે, જ્યારે અનુવાદનું ત્રીજું જીવનચક્ર છે.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack યાદી હાલના પ્રવાહો તેમના મૂળ અને અનૂદિત મૂલ્યો સાથે દેખાડે છે, અને માર્ગ યાદી દેખાડે છે કે મેનેજરે ઇન્ટરફેસ માટે શું સ્થાપિત કર્યું. NAT નિયમો પહેલા પેકેટ પર જોડાણ-ટ્રેકિંગ સ્થિતિ બનાવે છે, તેથી સ્થપાયેલો પ્રવાહ નિયમ બદલાયા પછી પણ તેનો અનુવાદ જાળવી રાખે છે. તેથી નિયમ સુધારવો અને નવો માર્ગ વાપરતો પ્રવાહ બે અલગ વિધાનો છે. કયા સત્રોને ફરી જોડાવું છે તે નક્કી કરો અને અસંબંધિત પ્રવાહોને છોડી દો.

ઠંડી શરૂઆત, નુકસાન અને પુનઃપ્રાપ્તિ સ્વીકારો

બૂટ વખતે ટનલ ગેરહાજર, પછી હાજર, પછી અટકાવ અને પરત ફર્યા પછી ગેટવે ચકાસો. ખાતરી કરો કે ટનલ ન હોય ત્યારે પ્રતિબંધિત ફોરવર્ડિંગ પ્રતિબંધિત જ રહે છે, સાથીની ઓળખ ચકાસાયા પછી નવો મંજૂર પ્રવાહ કામ કરે છે, અને પુનઃપ્રાપ્તિને અસંબંધિત સ્થિતિ ખાલી કરવાની જરૂર પડતી નથી. એક પ્રોફાઇલની અટકાવ ક્રિયા તરીકે આખી POSTROUTING સાંકળ કે દરેક conntrack નોંધ ભૂંસો નહીં, કારણ કે બીજી સેવાઓ તેને વહેંચે છે. કયા ઘટકે ઇન્ટરફેસ, માર્ગ અને નીતિ બદલી તે નોંધો, ફક્ત સ્ટાર્ટ હૂક શૂન્ય સાથે નીકળ્યો એ નહીં.

ફરી જોડાણ ટકી રહેતી નીતિ એ છે જેના માલિકો નામ આપેલા છે અને જેના નિયમો ટનલ બંધ અને ચાલુ બંને સ્થિતિમાં ચકાસાયા છે. સફળતા જણાવતો હૂક ફક્ત એટલું જ પુરવાર કરે છે કે હૂક ચાલ્યો.