Hvers vegna nftables sér ekki OpenVPN-umferð milli biðlara

Tveir biðlarar á einum netþjóni skiptast á skrám, flutningurinn heppnast, og hver framsendingarregla sem þú beinir að göngunni tilkynnir núll pakka. Reglurnar eru ekki brotnar og keðjan er ekki á röngum stað. Þegar framsending milli jafningja er virkjuð er pakkanum afhent inni í netþjónsferlinu og hýsilhranninn verður aldrei leiðarinn, svo eldveggur kjarnans hefur ekkert að telja. Að skilja þessa skiptingu ræður því hvort þú heldur stuttleiðinni eða byggir leiðina upp aftur gegnum kjarnann.

Fylgdu einni pakka gegnum netþjóninn

Í leiðarstýrðri göngu afhendir dæmoninn afkóðaða pakka hvers biðlara til göngutækisins. Þaðan leiðar hýsillinn hana, framsendingarkrókurinn keyrir, og regla sem passar við göngutækið getur talið eða sleppt umferðinni. Þetta er leiðin sem flestir eldveggsdæmi gera ráð fyrir.

Stuttleiðin tekur hýsilinn út úr miðjunni. Afkóðaðri pakka einnar lotu er afhent annarri lotu inni í dæmonnum, og innri pakkinn er aldrei sendur út á göngutækið né leiðarstýrður af hýsilnum. Innpakkað umferð fer samt yfir eðlisfræðilega viðmótið, svo ytra upptakateppi virðist upptekið á meðan innri reglurnar þegja. Upptaka tekin á göngutækinu sýnir alls ekkert, sem kemur öllum á óvart sem búast við að fylgjast með flutningnum þar. Þetta misræmi er fljótlegasta leiðin til að þekkja stuttleiðina utan frá dæmonnum.

Teljaraprófið sem ræður hvor leiðin var farin

Festu teljara við regluna sem ætti að gilda, keyrðu flutning milli tveggja biðlara sem reglan ætti að loka á, og lestu teljarann eftir á.

sudo nft list ruleset
sudo nft add rule inet filter forward iifname "tun0" oifname "tun0" counter accept
sudo nft list chain inet filter forward

Ef flutningurinn heppnast og teljarinn helst á núlli hefur kjarninn aldrei meðhöndlað þessa pakka, og engin reglubreyting breytir því. Endurtaktu sama próf gegn þjónustu á netþjóninum sjálfum, því sú streymi fer sannarlega gegnum hýsilhrannann og teljarinn hennar hreyfist. Það er samanburður tveggja niðurstaðna sem gefur svarið.

Tveir þættir koma í veg fyrir rangar mælingar. Viðmótsnafn skrifað í keðjumerkingu síar ekkert af sjálfu sér, því samsvörun fer fram á viðmótsreitum inni í reglum. Og brúað 2. lags hönnun hegðar sér aftur öðruvísi: þar deila biðlararnir einu útvarpssvæði, svo uppgötvun jafningja er væntanleg en ekki leiðarvilla.

Rofi er ekki aðgangslisti

Þetta er hlutinn sem kostar síðdegi. Framsending milli jafningja er ein kveikt- eða slökkt stilling, og á meðan hún er kveikt er dæmoninn eini framsendingarstaðurinn. Eldveggur hýsilsins getur ekki lýst því hver má ná til hvers, og skrár fyrir hvern biðlara gera rofann ekki að stefnumótunarfylki.

Ef þú þarft reglur fyrir hvern jafningja er valið milli þess að gefa stuttleiðina upp og að gefa eldvegg hýsilsins upp sem stjórntæki. Að slökkva á henni endurheimtir framsendingu kjarnans, sem krefst IP-framsendingar á netþjóninum og skýrra reglna fyrir þau streymi sem þú vilt. Að hafa hana kveikta þýðir að stefnan býr í stillingum dæmonsins, sem í reynd er allir jafningjar eða enginn.

Aðskilin netþjónsferli með eigin vistföngum og portum eru færa millileiðin. Hvert ferli ber nákvæmlega eina aðgangsákvörðun, svo tveir hópar geta haft mismunandi reglur án stefnumótunarfylkis. Hýsillinn getur leiðarstýrt milli vistfanganna þegar það er ætlunin, og þá sér eldveggurinn þessi streymi því þau fara yfir hýsilinn. Kostnaðurinn er auka port, auka skírteini og prófíll fyrir hvern hóp.

Að velja framsendingarstaðinn

Veldu framsendingu kjarnans þegar eldveggurinn er stefnuvélin, þegar þú þarft skráningu fyrir hvert streymi eða þegar bókhald skiptir máli. Kostnaðurinn er afköst gegnum hýsilhrannann og fleiri reglur til að viðhalda. Ávinningurinn er að hvert núverandi tól, frá teljurum til streymisútflytjenda, lýsir umferðinni aftur. Á litlum netþjóni er sá kostnaður ósýnilegur; á annasömum endurvarpa ekki.

Veldu framsendingu inni í ferlinu þegar umferð milli jafningja er annaðhvort öll leyfð eða öll bönnuð og netþjóninum er hannaður fyrir það. Kostnaðurinn er að teljarar, biðraðaragi og tengingarakstur lýsa ekki lengur innri streymum; það er aðeins ásættanlegt ef enginn treystir á þau síðar.

Hvað sem þú velur, skrifaðu það niður við hlið eldveggsreglnanna. Reglusett sem virðist leyfa umferð milli jafningja á meðan dæmoninn ákveður samt villir fyrir næsta manni sem kembir misheppnuðum flutningi. Hver sem les aðeins reglurnar mun gera ráð fyrir að kjarninn sé hliðið.

Hvað á að athuga áður en reglum er breytt

Lestu stillingarnar sem netþjóninn hlaðaði í raun, ekki skrána sem þú manst að hafa breytt, og staðfestu hvort valkostur jafningja er til staðar. Ef þú breyttir honum skaltu ganga úr skugga um að þjónustan hafi hlaðið sér aftur en ekki bara skrifað skrá á diskinn aftur.

Endurtaktu síðan prófið með streymi frá biðlara til netþjóns til að sanna að reglan passi yfirhöfuð, og athugaðu leiðirnar sem ýtt er út, því leið sem vantar lítur frá hlið biðlarans nákvæmlega út eins og eldveggslokun. Breyttu röð reglnanna aðeins eftir að þú veist hvaða framsendingarstaður á ákvörðunina.