nftables-merki og VPN-leiðastýring: hvaða regla vinnur í raun

Merki sem sett er í nftables á að senda einn flokk umferðar gegnum göngin, en umferðin heldur áfram að fara út um líkamlega tengið. Reglusettið virðist rétt í einangrun. Það sem venjulega hefur gerst er að eitthvað annað skrifaði sama merkið, eða að leiðarreglan passar við grímu sem nýja gildið fullnægir ekki lengur.

Athugun 1: lestu regluna sem kjarninn passar við

Byrjaðu á stefnureglunni frekar en eldveggnum. Kjarninn fer yfir reglur í forgangsröð og fyrsta samsvörunin ræður töflunni. Lestu fwmark-gildið og grímuna úr reglunni sjálfri og staðfestu svo að pakki með merkið sem þú settir passi í raun við hana. Regla sem býst við fullu 32-bita gildi passar ekki við pakka sem ber aðeins eitt bit.

Staðfestu svo hvaða töflu reglan velur og hvað taflan inniheldur. Regla sem bendir á tóma töflu veldur misheppnaðri leit, sem á mörgum kerfum þýðir að pakkinn fellur í næstu reglu og út um líkamlega tengið.

Tvær skipanir leysa þetta: reglulistinn og leiðarleitin að áfangastaðnum í þeirri töflu.

Athugun 2: pakkamerki eða tengimerki

nftables getur sett merki á pakkann og merki á tengslarakningarfærsluna, og þetta eru mismunandi hlutir. Pakkamerkið lifir meðan á vinnsluferli pakkans stendur, en tengimerkið varir fyrir flæðið og verður að afrita viljandi. Að setja annað og búast við hinu er algeng hálfráðstöfun.

Ef leiðarreglan byggir á pakkamerkinu gerir endurheimt tengimerkisins síðar á leiðinni ekkert fyrir þá ákvörðun, því ákvörðunin er þegar tekin.

Ákveddu hvaða hlutur á leiðarmerkið og settu það svo á þeim stað þar sem leiðarákvörðunin er tekin.

Athugun 3: hver skrifar þetta merki líka

Eigin verkfæri WireGuard merkja UDP-pakka sína svo dulkóðuð flutningur sé ekki leiðbeint aftur inn í göngin sem hann tilheyrir. Ef reglusettið þitt úthlutar óskyldu gildi á sama sviðið hverfur sú undantekning og ytri umferð ganganna reynir að ganga inn í sjálfa sig. Einkennið er göng sem koma upp og hætta svo að flytja umferð.

Merki eru líka notuð af öðrum eldveggsverkfærum, gámakerfum og stefnubundinni leiðastýringu í öðrum tilgangi, svo að tvö undirkerfi skrifi allt sviðið er árekstur jafnvel þótt hvert um sig sé rétt.

Skráðu skrifendurna áður en þú bætir við einum enn.

Athugun 4: gríman ræður því hvað þú heldur

Merki er 32-bita svið og grímur eru leiðin sem margir eigendur deila því. Að setja gildi með grímu varðveitir bitin sem þú átt ekki; að setja allt sviðið eyðileggur bitin hjá öllum öðrum. Lestu grímuna í hverri reglu sem snertir sviðið, þar á meðal þeim sem þú skrifaðir ekki.

Skjalfestu bitaskiptinguna við hlið reglusettsins.

Annars endurnýtir næsta manneskja gildi sem á þegar eiganda, og árekstur hér lítur út eins og leiðarbugur þótt hann sé ávarpsbugur. nftables-skjöl um lýsigögn pakka lýsa sjálfum merkisaðgerðunum.

Athugun 5: staðfestu með raunverulegu flæði, ekki leit

Venjuleg leiðarleit ber ekkert merki, svo hún getur sýnt aðra leið en raunverulegur pakki. Búðu til umferðina sem þig varðar og fylgstu með teljurunum, tengslarakningarfærslunni og tenginu sem hún fer í raun út um. Prófaðu bæði innifalinn flokk og útilokaðan flokk, því of breitt merki brýtur útilokunina á meðan það virðist heppnast. Ef innifalinn flokkur virkar og útilokaði flokkurinn fer líka inn í göngin, er merkið of breitt en ekki of þröngt.

Forðastu að hreinsa tengslastöðu til að þvinga endurnýjun í lifandi lotu, því ný og fyrirliggjandi flæði geta lögmæt farið ólíkar leiðir.

Skráðu merkið, grímuna og töfluna á einn stað, og næsta breyting verður yfirfarin.