nftables: setjið VPN-leyfisregluna fyrir drop-handfangið

Setjið leyfisreglu á rangann stað og hún hagar sér eins og engin leyfisregla sé til. Í nftables ræður valið milli insert og add á hvaða hlið tilvísðrar reglu nýja fullyrðingin lendir, og handfang nefnir regluna í lifandi reglusettinu frekar en línunúmer hennar. Ef staðsetningin er röng nær pakkinn dropinu fyrst.

Samanburðurinn hér að neðan notar einn fastan jafningja og eitt skipti á ytri hlustanda. Hann er viljandi þröngur; að skipta um heila keðju er önnur breyting með annað áhættusnið.

Tvær staðsetningar, tvær ólíkar niðurstöður

insert setur reglu fyrir tilvísðu regluna. add setur hana á eftir. Ef tilvísða reglan er endanlegt drop fyrir flæðið gefa þessar tvær skipanir andstæðar niðurstöður þótt texti reglunnar sé sá sami.

Að sleppa staðsetningu hefur sína eigin sjálfgefnu hegðun, sem er önnur ástæða til að afrita ekki skipun af vefspjalli án þess að lesa við hvað hún er fest. Festingin er öll ákvörðunin. Skrifaðu fyrirhugaða hlið niður áður en þú slærð inn skipunina. insert og add eru eitt orð í sundur í skránni.

Staðsetningin er miðuð við reglu í tiltekinni keðju. Að færa sömu fullyrðingu í aðra keðju eða aðra hook-forgangsröðun breytir því hvaða pakka hún sér, jafnvel þótt setningafræði reglunnar líti rétt út.

Handfang auðkennir reglu, ekki línunúmer

Handfang eins og 42 er auðkenni í núverandi ástandi reglusettsins. Það er ekki fjörutíu og önnur reglan og er ekki stöðugt milli hýsla, endurbygginga eða stjórnanda sem hleður stillingum sínum aftur.

Finndu keðjuna og raunverulega endanlega dropið áður en þú velur festinguna. Staðfestu síðan handfangið á þeirri reglu í sama lista og sýnir dropið, svo númerið og reglan séu lesin saman. Handfang lesið úr gömlum lista getur þegar tilheyrt annarri reglu. Lestu það aftur í lotunni sem beitir breytingunni.

iptables --version
nft -a list ruleset

Útgáfa iptables segir til um hvaða bakenda er notaður. Reglusett iptables-nft og sjálfstætt stýrð innfædd tafla geta verið til saman, svo listi frá einum framenda er ekki sjálfkrafa heildarmynd síunarinnar. Athugaðu báðar sýnirnar áður en þú velur keðju.

Finndu keðjuna og regluna sem í raun dropa

Lestu input-hookið, forgangsröðun keðjunnar og regluna sem hafnar þessu hlustendaflæði. inet-tafla getur borið bæði vistfangaflokkana, en einstök regla getur samt aðeins passað við IPv4.

Taktu einn samþykktan jafningja og notaðu 198.51.100.25 úr skjölunarbilinu sem dæmi. Yfirfarin innfædd skrá gæti sett ytra leyfi fyrir handfang 42:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Skiptu út flokknum, töflunni, keðjunni, handfanginu, inngangsviðmótinu og jafningjanum eftir skoðun. Dæmið notar handfangsstaðsetningarformið sem skjalfest er fyrir nft 1.0.9, og það á heima í inntaksskrá; tilvitnun slaufusviga er sérstakt mál þegar skipunin er slegin inn gagnvirkt.

Haltu eiganda stillinganna skýrum. Stjórnandi sem byggir reglur sínar upp að nýju getur skrifað yfir breytingu á keyrslutíma, og ræsingarskript sem harðkóðar úrelt handfang mun annaðhvort mistakast eða festast við röngu regluna.

Leyfi er afmarkað, drop er endanlegt

Leyfisdómur endar mat á núverandi slóð sinni, en síðar gild grunnkeðja getur samt dropað pakkanum. Dropdómur er endanlegur. Þess vegna er vaxandi leyfisteljari ekki sönnun þess að flæðinu hafi tekist.

Skoðaðu alla viðeigandi hook-forgangsröðun í stað einnar keðju í einangrun. Pakki getur farið í gegnum inntakssíu og samt verið hafnað af hooki annarrar töflu við aðra forgangsröðun. Listaðu hverja grunnkeðju sem getur séð flæðið.

Sú regla nær aðeins yfir skipti ytri hlustandans. ESP í flutningsumbúðum, innfætt ESP, IPv6-jafningjar og afkóðað umferð inni í göngunum þurfa öll sínar eigin stefnur. Þetta er ekki heildar VPN-varnarveggur fyrir vefsvæði.

Athugaðu skrána og staðfestu síðan lifandi niðurstöðuna

Keyrðu setningafræði- og færsluathugun á yfirfarinni skránni áður en þú beitir henni. Athugunarhamur greinir frá því hvort nft geti þáttað og undirbúið breytinguna; hann beitir henni ekki og sannar ekki að annar hook leyfi pakkann. Skráin helst tillaga þar til eigandinn beitir henni:

nft -c -f reviewed-vpn-rule.nft

Beittu í gegnum stýrt ferli eigandans og varðveittu aðgang til endurheimtar. Ef reglan er röng getur dropið sem þú reyndir að fara fram úr líka skorið slóðina sem þú notar til að laga hana.

Eftir breytinguna skaltu fylgjast með nýrri tilraun leyfðs jafningja og staðfesta að upptök utan samþykkta jafningjans séu enn hafnað. Færðu varanlegu regluna í þann stjórnanda sem á reglusettið, því handföng á keyrslutíma staðsetja núverandi hluti í stað þess að auðkenna þá milli ræsinga.