Canjin dokar wutar bango ba ya aiki: tsarin dokoki da yanayin haɗi

Ka gyara dokar, ka sake loda jerin dokoki, kuma ramin yana yin daidai yadda yake a da. Wannan sakamakon yana da dalilai biyu na kowa, kuma suna buƙatar gwaje-gwaje daban-daban. Ko sabuwar dokar tana bayan wata dokar da ta riga ta karɓi fakitin, ko kuma musayar da kake kallo haɗi ne da ake bibiya wanda canjin bai taɓa sake kimantawa ba. Doka a cikin fayil tana nuna niyya; abin da ke yanke shawarar fakitin shine hanyar aiki da ya haɗu da ita. Bi binciken da ke ƙasa bisa tsari, kuma ka riƙe hanyar dawowa yayin da kake yin haka.

Tsarin dokoki da yanayin haɗi kuskure ne daban-daban

Ana kimanta sarƙoƙi masu tsari daga sama zuwa ƙasa, kuma dokar farko da ta kai ga yanke hukunci na ƙarshe tana kawo ƙarshen tafiya cikin wannan sarƙa. Saka babbar yarda a sama da dokar kulle da aka rubuta a hankali, kuma dokar kulle ta zama takardu: tana cikin jerin dokoki, ma'auninta sifili ne, kuma babu fakitin da zai taɓa isa gareta. Hakanan rubutun da aka yi amfani da shi a wata sarƙa ba ya tabbatar da komai. A cikin nftables ana haɗa tushen sarƙoƙi zuwa ƙugiya bisa fifiko, don haka yarda a wata sarƙa ba ta hana wata sarƙa a wani ƙugiya ko fifiko gani irin wannan fakitin ba.

Bin diddigin haɗi yana haifar da alama ta biyu, kuma daga waje yana kama daidai. Da zarar kwarara tana cikin teburin yanayi, yarda ta established-or-related kusa da saman sarƙa tana dawowa kafin a tuntuɓi sabuwar dokarka. Taswirar NAT suna da wannan sifa: an daidaita fassarar lokacin da kwarara ta fara, don haka gyaran dokar postrouting ba ya sake rubuta zaman da ke gudana. Wannan shine dalilin da yasa canji yake kama yana aiki a 09:00 don sabon haɗi kuma yana kama ba ya yin komai ga zaman da wani ya buɗe a 08:55.

Ƙungiyoyin tsaro na girgije suna ƙara tsari na uku wanda ke kama mutanen da suka koya akan iptables. Dokokinsu na shiga jerin izini ne da ake kimantawa a matsayin saiti maimakon tafiya ta farkon daidaito, suna da yanayi, kuma cire dokar izini ba ya ƙare kwararar da ake bibiya. Ɗaukan ma'anar farkon daidaito a dandamali da ba ta da ita yana kaiwa ga tabbatattun, kuskuren shawarwari.

Karanta jerin dokoki mai aiki, ba fayil ɗin da ka gyara ba

Fara da abin da kernel ke tilastawa yanzu. Tsarin da aka adana wanda ba a taɓa amfani da shi ba yana bayyana yawan halayen da ba su canza ba, kuma cire shi yana kashe umarni ɗaya kawai:

nft list ruleset
iptables-save

Sannan ka tambaya ko ana isa ga dokarka kwata-kwata. Ma'aunin fakiti yana amsa hakan kai tsaye, kuma yana amsa fiye da kowane tunani game da niyya:

iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forward

Dokar kulle da sifili fakiti bayan ƙoƙarin gwaji na gaske ba matsalar manufa ba ce, matsalar matsayi ce. Motsa ta canji ne na layi ɗaya, kuma sintax ɗin shine ainihin abin da ya haifar da ainihin kuskuren. Tare da iptables -I yana saka kuma -A yana ƙarawa a ƙarshe; tare da nftables insert yana ajiye doka a farkon sarƙar yayin da add yana ƙarawa a ƙarshe. Lokacin da dole doka ta yi nasara, faɗi haka a sarari maimakon dogaro da tsarin da ya yi sa'a an loda.

Tabbatar ko ana bibiyar kwararar

Kafin ka zargi dokar, duba ko zirga-zirgar haɗi ne da ake bibiya kwata-kwata. Tambayi teburin yanayi game da takamaiman kwarara maimakon zubar da shi duka:

conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194

Lissafin yana nuna yanayin da sauran lokaci, kuma haka zaka bambanta zaman da aka kafa da sabon ƙoƙari; yanayin abubuwan da suka faru yana buga sabuntawa yayin da suke faruwa, wanda ke da amfani yayin da kake sake haɗa abokin ciniki. Idan kwararar tana nan da yanayin da aka kafa kafin ka taɓa komai, babu gyaran dokokin tacewa da zai canza makomarta. Wannan ba kuskure bane a cikin wutar bango, alkawari ne na tacewa mai yanayi.

Yi tsayin daka ga gajeriyar hanyar share dukan tebur a ƙofar samarwa. conntrack -F yana samuwa, kuma yana lalata duk kwararar da ake bibiya a na'urar, ciki har da zaman gudanarwa da kake aiki daga gare shi da ramin da ke ɗauke da harsashinka. Ana iya share shigarwar ɗaya ɗaya lokacin da kake buƙatar hakan da gaske, amma sabon kwarara daga sabuwar tashar tushe yawanci gwaji ne mafi tsafta.

Wasu hanyoyi ba a bibiya su, kuma suna yin akasin haka. Zirga-zirgar da aka yi wa alama a matsayin notrack a cikin teburin raw, wasu ramuka da ke ƙetare ƙugiyoyin al'ada, da karkatar da ba daidai ba da ke raba kwarara tsakanin ƙofofi biyu duk suna haifar da fakiti da ake kimantawa ɗaya bayan ɗaya, ko yanayi da ba a taɓa ƙirƙira a ɓangarorin biyu. Idan ma'auni suna motsi ga kowane fakiti, yi zargin irin wannan hanya kafin ka yi zargin tsari.

Gwada daga sabon kwarara tare da hanyar dawowa

Kafin ka gwada dokar da zata iya yanke damar nesa, kafa hanyar dawo da ita: console ɗin mai bayarwa, console ɗin serial, adireshin gudanarwa na waje, ko wata hanya ta biyu da dokar ba za ta iya saduwa da ita ba. Mai ƙidayar lokacin dawowa abokin da ya dace ne, domin zai maido da jerin dokokin da suka gabata ko da zaman ka ya mutu a tsakiyar gwajin.

Sannan gwada da musayar da yanayi ba zai iya rufe ta ba. Katse ka sake haɗa abokin ciniki domin a ƙirƙiri sabon biyar, kuma ka lura da ɓangarorin biyu yayin da hakan ke faruwa:

tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pager

Gudanar da gwajin a duka ɓangarori. Dokar da ke toshe sabuwar musafaha ta shiga tana iya ba da izinin hanyar amsa, ko akasin haka, kuma sakamakon ɓangare ɗaya shine dalilin da ya saba sa kulle ya yi aiki rabin. Sake haɗa sau ɗaya bayan gwajin don tabbatar da yanayin da ya tsaya, kuma duba ko damar gudanarwa ta halal ta tsira; dokar da aka rubuta don tasha ɗaya tana da dabi'ar daidaitawa da faffadan kewayon da ba a yi niyya ba.

Yi rikodin manufa da matsayi tare da dokar

Doka da ba ta da manufar da aka rubuta doka ce da babu wanda zai kuskura ya cire. A gefen kowane shigarwar kulle, riƙe kwararar da take karewa, sarƙar da ƙugiyar da take rayuwa a ciki, matsayin da dole ta riƙe dangane da faffadan izini, da gwajin da ya tabbatar da hakan. Lokacin da wani ya gyara jerin dokokin da ke kewaye bayan watanni shida, wannan bayanin shine kawai gargaɗin cewa matsayin an yi shi da gangan.

Kafin ka rufe canjin, tabbatar da abubuwa huɗu: jerin dokokin da ke gudana ya dace da fayil ɗin, sabuwar dokar tana da ma'auni wanda ba sifili ba bayan sabon ƙoƙari, akasin jagora da damar gudanarwa har yanzu suna aiki, kuma ka sake haɗa sau ɗaya don tabbatar da yanayin da ya tsaya maimakon yanayin zaman da ya wuce canjin. Idan ɗaya daga cikin waɗannan ba a tabbatar da shi ba, canjin bai ƙare ba, komai abin da ramin ke yi.