Nafn keðju er ekki kragi: iptables á móti nftables

Báðir eldveggir geta síað VPN-umferð sem er framsend, og þeir tengja reglur við pakkaleiðina á mismunandi vegu. iptables hefur innbyggðar keðjur inni í töflu, þannig að FORWARD er til sem nefndur kragapunktur. nftables aðskilur nafn keðjunnar frá gerð hennar, kraganum og forganginum, sem þýðir að venjuleg keðja sem heitir FORWARD sér ekkert. Samanburður á módelnu tveimur útskýrir hvers vegna færsla sem virðist rétt í einu tóli hefur engin áhrif í hinu.

Keðja er ílát. Hvort kjarninn skoðar hana fer eftir útfærslunni og því hvernig reglusettið tengir hana.

Tvö módél, tvær ólíkar tengingar

Í iptables kemur filter-taflan með þremur innbyggðum keðjum, INPUT, FORWARD og OUTPUT, og -N býr til keðju sem notandinn skilgreinir og verkar aðeins þegar stokkið er á hana úr einni þeirra. Handbók nftables skilgreinir í staðinn grunnkeðjur, sem lýsa yfir gerð sinni, kraga og forgangi, og venjulegar keðjur, sem gera það ekki. Grunnkeðja má bera hvaða nafn sem er, og venjuleg keðja sem heitir FORWARD fær enga eiginleika frá merkinu sínu. Þetta er allur munurinn, og hann er ósýnilegur í kennsluefni sem sýnir aðeins texta reglna.

Samhæfðir bakendur bæta við annarri ástæðu til að álykta ekki hegðun út frá nafni skipunar. Skjöl iptables benda á aðgerðir sem eru ólíkar undir iptables-nft, svo líttu á upprunalegt nftables, iptables-nft og arfsett reglusett sem þrjú kerfi frekar en þrjár stafsetningar á einu.

Lestu villuna í raunverulegu samhengi hennar

Vantar tafla, leyfisbrestur, óaðgengileg kjarnaaðstaða og vantar nefnda keðju eru fjórar ólíkar niðurstöður, og aðeins ein snýr að keðjunni. Skráðu útgáfu tólsins, óskaða netfangafjölskyldu og töflu, netnafnrýmið og fyrstu nákvæmu villuna. Athugaðu síðan hvaða hluti á reglusettið: eldveggjaþjónusta eða hlið sem stýrt er af vöru getur búið til sínar eigin keðjur og röð. Að bæta upprunalegri keðju við hliðina á þeim lætur stýrðu stefnuna ósnerta og birgðaskrána ruglingslegri.

Nafnrými gáms getur haldið öðru reglusetti en hýsilinn, svo skipun sem keyrð er í röngu samhengi getur ekki sýnt hvaða keðja sá framsendan pakka. Að hækka réttindi vegna þess að vænt keðja sást ekki er ekki greining.

Teljarar sanna aðdrætti, ekki dóm

Teljarar reglna segja þér að reglu hafi verið náð. Þeir segja þér ekki að síðari regla hafi leyft aðgerðina, og þeir sanna ekki að hverri annarri leið hafi verið hafnað. Lestu þá meðan á einni skaðlausri heimilaðri flæði stendur, ásamt röð reglna og tengingu keðju, og líttu á þá sem eina athugun frekar en dóm. Teljari sem er ekki núll á drop-reglu þýðir að umferð rak á hana; hann segir ekkert um umferð sem rak ekki á hana.

IP-framsending kjarnans er algjörlega sérstök stilling. Tilvist keðju virkjar ekki framsendingu, og fjarvera kunnuglegs merkis þýðir ekki að framsending hafi stöðvast.

Lýstu flæðinu sem þú ætlar að vernda

Skrifaðu niður eina beiðni biðlarans eftir afkóðun: uppruna hennar, áfangastað, netfangafjölskyldu og hvort hún endar við hliðið eða fer í gegnum það. Inntak staðbundinnar þjónustu og framsend umferð sjást á ólíkum stöðum, svo þau þurfa ólíkar reglur og ólík próf. Fyrir brúað VPN skaltu einnig sannprófa brúarleiðina, því keðja á IP-stigi gætir ekki sjálfkrafa Ethernet-ramma.

Varðveittu sjálfstæðan aðgang að endurheimt áður en fjarlægu hliði er breytt. Staðfestu síðan fyrirhugaða flæði og nauðsynlegar synjanir undir sama reglusetti. Ný tóm keðja með kunnuglegt nafn er ekki viðgerð.

Samanburðurinn endar á einni spurningu: hvaða kraga kallar kjarninn í raun fyrir þennan pakka? Svaraðu því, og nafn keðjunnar hættir að skipta máli.