Haltu nftables-stefnunni stöðugri meðan VPN-tengið kemur

Göng eru einnota; stefna ætti ekki að vera það. Á Linux-hliði er hægt að hlaða nftables-reglu sem passar tengi gangsins eftir nafni einu sinni, og hún heldur áfram að gilda í hvert sinn sem það tengi birtist. Tengið á samt enn lífsferil: það er búið til, það hverfur, og leiðirnar og þýðingarnar í kringum það fylgja eigin tímaáætlun. Að aðskilja þessa eigendur er það sem heldur aðgangi stöðugum meðan á endurtengingu stendur.

Nafnsamsvörun lifir tengið

nftables býður upp á tölulegar samsvaranir tengisvísis og kraftmiklar nafnsamsvaranir iifname og oifname. Reglur sem nota þessi nöfn hlaðast hreinlega jafnvel þótt gangstækið hafi ekki verið búið til enn, sem er einmitt það sem reglusett þarf við ræsingu. Samsvörunin stöðvast ef tengið er endurnefnt og hefst á ný þegar nýtt tengi tekur nafnið. Tölulegum vísitölu vantar þessa eiginleika, þess vegna er nafnformið venjulegi valkosturinn fyrir göng.

Nafnið er samsvörunarlykill, ekki sönnun um hver er hinum megin. Auðkenning jafningjans er áfram verk VPN.

Lestu keðjuna áður en þú bætir við reglum

Skoðaðu hvað reglusettið inniheldur núna og hvar ný regla myndi sitja, því röðin ræður niðurstöðunni.

nft list ruleset
nft -c -f /etc/nftables.conf

Listinn sýnir keðjur, reglur og handföng, og prófunarhamur staðfestir kandídatskrá án þess að hlaða henni. Heimild sem aðeins er ætluð göngunum og er sett eftir fyrri samþykkt fyrir sama flæði breytir engu, því fyrsta reglan sem passar vinnur. Þess vegna getur seint komin regla litið rétt út og haft engin áhrif. Lestu keðjuna í röð og staðfestu að bann við umferð frá biðlara til uppstreymis komi enn á undan öllu víðtækara.

Leiðir, þýðing og flæði hafa aðra eigendur

Viðvera tengisins býr ekki til leiðir og auðkennir ekki jafningjann. Það tilheyrir VPN-stjórnandanum, en þýðingin hefur þriðja lífsferilinn.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack-listinn sýnir fyrirliggjandi flæði með upprunalegum og þýddum gildum sínum, og leiðalistinn sýnir hvað stjórnandinn setti upp fyrir tengið. NAT-reglur koma á stöðu tengingarrakningar á fyrsta pakkanum, svo komið flæði heldur þýðingu sinni jafnvel eftir að reglan breytist. Þess vegna eru regla sem er uppfærð og flæði sem notar nýju leiðina tvær ólíkar fullyrðingar. Ákváðu hvaða lotur verða að endurtengjast og láttu ótengd flæði í friði.

Samþykktu kaldræsingu, tap og endurheimt

Prófaðu hliðið með göngin fjarverandi við ræsingu, svo til staðar, og loks eftir rof og endurkomu. Staðfestu að bannað framsending haldist bönnuð meðan göngin vantar, að nýtt leyft flæði virki þegar jafninginn hefur verið auðkenndur, og að endurheimt krefjist ekki þess að eyða ótengdu ástandi. Hreinsaðu ekki alla POSTROUTING-keðjuna eða hverja conntrack-færslu sem stöðvunaraðgerð einnar prófíls, því aðrar þjónustur deila þeim. Skráðu hvaða eining breytti tenginu, leiðinni og stefnunni, í stað þess aðeins að ræsikrókur hafi skilað núlli.

Stefna sem lifir af endurtengingu er sú sem eigendur hennar eru nefndir og reglurnar prófaðar með göngunum bæði niðri og uppi. Krókur sem tilkynnir árangur sannar aðeins að krókurinn hafi keyrt.