Շղթայի անունը կեռիկ չէ. iptables ընդդեմ nftables

Երկու firewall-ներն էլ կարող են զտել փոխանցվող VPN երթևեկությունը, և նրանք կանոնները փաթեթի ուղուն կցում են տարբեր ձևերով։ iptables-ում աղյուսակի ներսում կան ներկառուցված շղթաներ, ուստի FORWARD գոյություն ունի որպես անվանված կեռիկի կետ։ nftables-ը առանձնացնում է շղթայի անունը նրա տեսակից, կեռիկից և առաջնահերթությունից, ինչը նշանակում է, որ FORWARD անունով սովորական շղթան ոչինչ չի զտում։ Երկու մոդելների համեմատությունը բացատրում է, թե ինչու մի գործիքի մեջ ճիշտ թվացող գրառումը մյուսում ազդեցություն չունի։

Շղթան տարա է։ Արդյոք միջուկը ստուգում է այն, կախված է իրականացումից և այն բանից, թե ինչպես է կանոնների հավաքածուն կցում այն։

Երկու մոդել, երկու տարբեր կցում

iptables-ում filter աղյուսակը գալիս է երեք ներկառուցված շղթաներով՝ INPUT, FORWARD և OUTPUT, իսկ -N հրամանը ստեղծում է օգտագործողի կողմից սահմանված շղթա, որն ուժի մեջ է մտնում միայն այն դեպքում, երբ դրանցից մեկից ցատկում են դրա վրա։ nftables-ի ձեռնարկը փոխարենը սահմանում է հիմնական շղթաներ, որոնք հայտարարում են իրենց տեսակը, կեռիկը և առաջնահերթությունը, և սովորական շղթաներ, որոնք դա չեն անում։ Հիմնական շղթան կարող է կրել ցանկացած անուն, իսկ FORWARD անունով սովորական շղթան իր պիտակից ոչ մի հատկություն չի ստանում։ Դա է ամբողջ տարբերությունը, և այն անտեսանելի է ձեռնարկում, որը ցույց է տալիս միայն կանոնի տեքստը։

Համատեղելիության հետին մասերը ավելացնում են երկրորդ պատճառը՝ վարքը չենթադրել հրամանի անունից։ iptables-ի փաստաթղթերը նշում են գործողություններ, որոնք տարբերվում են iptables-nft-ի ներքո, ուստի բնիկ nftables-ը, iptables-nft-ը և ժառանգված կանոնների հավաքածուն դիտարկեք որպես երեք համակարգ, այլ ոչ թե մեկի երեք գրելաձև։

Կարդացեք սխալը նրա իրական համատեքստում

Բացակայող աղյուսակը, թույլտվության ձախողումը, անհասանելի միջուկային հնարավորությունը և բացակայող անվանված շղթան չորս տարբեր գտածոներ են, և դրանցից միայն մեկն է շղթայի մասին։ Գրանցեք գործիքի տարբերակը, պահանջված հասցեների ընտանիքը և աղյուսակը, ցանցային անվանատարածքը և առաջին ճշգրիտ սխալը։ Այնուհետև ստուգեք, թե որ բաղադրիչն է տիրապետում կանոնների հավաքածուին. firewall ծառայությունը կամ արտադրանքով կառավարվող դարպասը կարող են ստեղծել իրենց շղթաները և հերթականությունը։ Դրանց կողքին բնիկ շղթա ավելացնելը կառավարվող քաղաքականությունը թողնում է անփոփոխ, իսկ գույքագրումը՝ ավելի շփոթեցնող։

Կոնտեյների անվանատարածքը կարող է պարունակել հոսթից տարբեր կանոնների հավաքածու, ուստի սխալ համատեքստում գործարկված հրամանը չի կարող ցույց տալ, թե որ շղթան է տեսել փոխանցված փաթեթը։ Արտոնությունների բարձրացումը այն պատճառով, որ սպասվող շղթան տեսանելի չէր, ախտորոշում չէ։

Հաշվիչները ապացուցում են հասանելիությունը, ոչ թե վճիռը

Կանոնների հաշվիչները ասում են, որ կանոնին հասել են։ Նրանք չեն ասում, որ ավելի ուշ կանոնը թույլատրել է գործողությունը, և չեն ապացուցում, որ բոլոր այլընտրանքային ուղիները մերժվել են։ Կարդացեք դրանք մեկ անվնաս լիազորված հոսքի ընթացքում՝ կանոնների հերթականության և շղթայի կցման հետ միասին, և դիտարկեք դրանք որպես մեկ դիտարկում, ոչ թե վճիռ։ Զրոյից տարբեր հաշվիչը drop կանոնի վրա նշանակում է, որ երթևեկությունը հարվածել է դրան. դա ոչինչ չի ասում այն երթևեկության մասին, որը չի հարվածել։

Միջուկի IP փոխանցումը բոլորովին առանձին կարգավորում է։ Շղթայի գոյությունը չի միացնում փոխանցումը, իսկ ծանոթ պիտակի բացակայությունը չի նշանակում, որ փոխանցումը դադարել է։

Նկարագրեք այն հոսքը, որը ցանկանում եք պաշտպանել

Գրեք մեկ հաճախորդի հարցում ապակապսուլավորումից հետո. նրա աղբյուրը, նպատակակետը, հասցեների ընտանիքը և այն, թե արդյոք այն ավարտվում է դարպասի մոտ, թե անցնում է դրա միջով։ Տեղական ծառայության մուտքը և փոխանցվող երթևեկությունը դիտվում են տարբեր կետերում, ուստի դրանք պահանջում են տարբեր կանոններ և տարբեր թեստեր։ Կամրջային VPN-ի համար ստուգեք նաև կամրջի ուղին, քանի որ IP մակարդակի շղթան ինքնաշխատ չի վերահսկում Ethernet շրջանակները։

Հեռավոր դարպասը փոխելուց առաջ պահպանեք անկախ վերականգնման հասանելիությունը։ Այնուհետև հաստատեք նախատեսված հոսքը և պահանջվող մերժումները նույն կանոնների հավաքածուի ներքո։ Ծանոթ անունով նոր դատարկ շղթան վերանորոգում չէ։

Համեմատությունն ավարտվում է մեկ հարցով. ո՞ր կեռիկն է միջուկը իրականում կանչում այս փաթեթի համար։ Պատասխանեք դրան, և շղթայի անունը դադարում է նշանակություն ունենալ։