nftables: saka dokar izinin VPN kafin maƙullin zubarwa

Sanya dokar izini a wurin da bai dace ba sai ta yi kamar babu dokar izini kwata-kwata. A nftables zaɓin tsakanin insert da add shi ke yanke shawara a wane ɓangare na dokar da aka ambata sabon bayani zai sauka, kuma maƙulli yana ba da sunan dokar a cikin tsarin dokoki mai rai maimakon lambar layinta. Idan ka yi kuskuren wuri, fakiti zai fara isa ga zubarwar.

Kwatancen da ke ƙasa yana amfani da abokin tarayya ɗaya tsayayye da musayar mai sauraro ta waje guda ɗaya. Yana da kunkuntar da gangan; maye gurbin dukan sarkar wani canji ne dabam da wani bayanin haɗari dabam.

Wurare biyu, sakamako biyu dabam

insert yana sanya doka kafin dokar da aka ambata. add yana sanya ta bayan. Idan dokar da aka ambata ita ce zubarwar ƙarshe ga kwarara, waɗannan umarni biyu suna ba da sakamako masu saɓani ko da rubutun dokar ɗaya ne.

Barin wuri yana da nasa halin da aka saba, wanda wani dalili ne na rashin kwafin umarni daga dandalin tattaunawa ba tare da karanta abin da aka ɗora shi a kai ba. Ɗaurin shi ne dukan shawarar. Rubuta ɓangaren da ake so kafin ka buga umarnin. insert da add sun bambanta da kalma ɗaya a cikin fayil ɗin.

Wurin yana da alaƙa da doka a cikin sarka ta musamman. Motsa bayanin ɗaya zuwa wata sarka ko wata fifikon hook yana canza waɗanne fakiti yake gani, ko da tsarin rubutun dokar ya yi kama da daidai.

Maƙulli yana gano doka, ba lambar layi ba

Maƙulli kamar 42 ganowa ne a halin yanzu na tsarin dokoki. Ba doka ta arba’in da biyu ba ce, kuma ba ta dawwama a kan masu karɓar baƙi, sake ginawa ko manaja da ke sake loda tsarin sa ba.

Nemo sarkar da ainihin zubarwar ƙarshe kafin zaɓin ɗaurin. Sannan tabbatar da maƙullin a kan wannan dokar a cikin jeri ɗaya da ke nuna zubarwar, domin a karanta lambar da dokar tare. Maƙullin da aka karanta daga tsohon jeri na iya riga ya kasance na wata doka. Sake karanta shi a zaman da zai aiwatar da canjin.

iptables --version
nft -a list ruleset

Sigar iptables tana bayyana wane backend ake amfani da shi. Tsarin dokokin iptables-nft da tebur na asali da ake sarrafawa da kansa na iya kasancewa tare, don haka jeri daga frontend ɗaya ba shi ne cikakken hoton tacewa kai tsaye ba. Duba dukkan ra’ayoyin biyu kafin zaɓin sarka.

Nemo sarkar da dokar da ke zubarwa da gaske

Karanta hook ɗin shigarwa, fifikon sarkar da dokar da ke ƙin wannan kwararar mai sauraro. Tebur na inet na iya ɗaukar dukkan iyalan adireshi biyu, amma doka ɗaya na iya har yanzu daidaitawa da IPv4 kawai.

Ɗauki abokin tarayya ɗaya da aka amince da shi, ka yi amfani da 198.51.100.25 daga kewayon takardun a matsayin misali. Fayil ɗin asali da aka duba zai iya sanya izinin waje kafin maƙulli 42:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Maye gurbin iyali, tebur, sarka, maƙulli, hanyar shigowa da abokin tarayya bayan dubawa. Misalin yana amfani da nau’in wurin-maƙulli da aka rubuta wa nft 1.0.9, kuma yana cikin fayil ɗin shigarwa; ambaton bakuna wani al’amari ne dabam idan an buga umarnin a hankali.

Ka riƙe mai tsarin saitin a bayyane. Manajan da ke sake gina dokokinsa na iya rubuta canjin lokacin aiki, kuma rubutun taya da ke ɗaure tsohon maƙulli zai kasa ko ya manne wa dokar da ba daidai ba.

Izini yana da iyaka, zubarwa tana ƙarshe

Hukuncin izini yana kawo ƙarshen kimantawa a hanyarsa ta yanzu, amma babbar sarka da za a iya amfani da ita daga baya na iya har yanzu zubar da fakitin. Hukuncin zubarwa yana ƙarshe. Shi ya sa ƙidayar izini da ke ƙaruwa ba hujja ba ce cewa kwararar ta yi nasara.

Duba dukkan fifikon hook masu dacewa maimakon sarka ɗaya a keɓe. Fakiti na iya wuce matatar shigarwa kuma har yanzu hook na wani tebur ya ƙi shi a wani fifiko dabam. Lissafa kowace babbar sarka da za ta iya ganin kwararar.

Wannan dokar tana rufe musayar mai sauraro ta waje kawai. ESP da aka lulluɓe ta hanyar jigila, ESP na asali, abokan tarayya na IPv6 da zirga-zirgar da aka ɓoye a cikin ramin duk suna buƙatar manufofinsu. Ba cikakken katangar wuta ta VPN ta wuri ba ne.

Duba fayil ɗin, sannan tabbatar da sakamakon mai rai

Gudanar da duban rubutu da ma’amala a kan fayil ɗin da aka duba kafin aiwatar da shi. Yanayin dubawa yana bayyana ko nft zai iya tantancewa da shirya canjin; ba ya aiwatar da shi kuma ba ya tabbatar da wani hook zai yarda da fakitin. Fayil ɗin ya kasance shawara har sai mai shi ya aiwatar da shi:

nft -c -f reviewed-vpn-rule.nft

Aiwatar ta hanyar tsarin da mai shi ke sarrafawa kuma ka kiyaye hanyar dawo da ita. Idan dokar ba daidai ba ce, zubarwar da kake ƙoƙarin gabata na iya yanke hanyar da kake amfani da ita wajen gyara ta.

Bayan canjin, lura da sabon ƙoƙarin abokin tarayya da aka yarda da shi kuma duba cewa ana ƙin tushen da ke wajen abokin tarayya da aka amince da shi. Motsa dokar mai dorewa zuwa duk manajan da ya mallaki tsarin dokoki, domin maƙullan lokacin aiki suna gano abubuwan yanzu maimakon gano su a tsakanin tayarwa.