ჯაჭვის სახელი კაუჭი არ არის: iptables nftables-ის წინააღმდეგ

ორივე firewall-ს შეუძლია გადამისამართებული VPN ტრაფიკის გაფილტვრა და ისინი წესებს პაკეტის გზას სხვადასხვა გზით უკავშირებენ. iptables-ში ცხრილის შიგნით ჩაშენებული ჯაჭვებია, ამიტომ FORWARD არსებობს როგორც დასახელებული კაუჭის წერტილი. nftables ჯაჭვის სახელს გამოყოფს მისი ტიპისგან, კაუჭისა და პრიორიტეტისგან, რაც ნიშნავს, რომ FORWARD სახელის ჩვეულებრივი ჯაჭვი არაფერს ფილტრავს. ორი მოდელის შედარება ხსნის, თუ რატომ არ აქვს ერთ ხელსაწყოში სწორად მოჩვენებულ ჩანაწერს ეფექტი მეორეში.

ჯაჭვი კონტეინერია. შეამოწმებს თუ არა მას ბირთვი, დამოკიდებულია იმპლემენტაციაზე და იმაზე, თუ როგორ უკავშირებს მას წესების ერთობლიობა.

ორი მოდელი, ორი განსხვავებული მიბმა

iptables-ში filter ცხრილი მოდის სამი ჩაშენებული ჯაჭვით, INPUT, FORWARD და OUTPUT, ხოლო -N ქმნის მომხმარებლის მიერ განსაზღვრულ ჯაჭვს, რომელიც ძალაში შედის მხოლოდ მაშინ, როდესაც მასზე გადაახტებიან ერთ-ერთი მათგანიდან. nftables-ის სახელმძღვანელო სამაგიეროდ განსაზღვრავს საბაზისო ჯაჭვებს, რომლებიც აცხადებენ თავიანთ ტიპს, კაუჭს და პრიორიტეტს, და ჩვეულებრივ ჯაჭვებს, რომლებიც ამას არ აკეთებენ. საბაზისო ჯაჭვს შეიძლება ჰქონდეს ნებისმიერი სახელი, ხოლო FORWARD სახელის ჩვეულებრივი ჯაჭვი თავისი იარლიყიდან ვერანაირ თვისებას არ იღებს. ეს არის მთელი განსხვავება და ის უხილავია გზამკვლევში, რომელიც მხოლოდ წესის ტექსტს აჩვენებს.

თავსებადობის ბექენდები ამატებენ მეორე მიზეზს, რომ ქცევა ბრძანების სახელიდან არ დავასკვნათ. iptables-ის დოკუმენტაცია აღნიშნავს ოპერაციებს, რომლებიც განსხვავდება iptables-nft-ის ქვეშ, ამიტომ მკვიდრი nftables, iptables-nft და მემკვიდრეობითი წესების ერთობლიობა განიხილეთ როგორც სამი სისტემა და არა ერთის სამი მართლწერა.

წაიკითხეთ შეცდომა მის ნამდვილ კონტექსტში

დაკარგული ცხრილი, ნებართვის ჩავარდნა, მიუწვდომელი ბირთვული შესაძლებლობა და დაკარგული დასახელებული ჯაჭვი ოთხი განსხვავებული დაკვირვებაა და მხოლოდ ერთი ეხება ჯაჭვს. ჩაწერეთ ხელსაწყოს ვერსია, მოთხოვნილი მისამართების ოჯახი და ცხრილი, ქსელური სახელთა სივრცე და პირველი ზუსტი შეცდომა. შემდეგ შეამოწმეთ, რომელი კომპონენტი ფლობს წესების ერთობლიობას: firewall სერვისმა ან პროდუქტით მართულმა კარიბჭემ შეიძლება შექმნას საკუთარი ჯაჭვები და თანმიმდევრობა. მათ გვერდით მკვიდრი ჯაჭვის დამატება მართულ პოლიტიკას უცვლელად ტოვებს, ხოლო ინვენტარს უფრო დამაბნეველს ხდის.

კონტეინერის სახელთა სივრცე შეიძლება შეიცავდეს ჰოსტისგან განსხვავებულ წესების ერთობლიობას, ამიტომ არასწორ კონტექსტში გაშვებული ბრძანება ვერ აჩვენებს, რომელმა ჯაჭვმა ნახა გადამისამართებული პაკეტი. პრივილეგიების ამაღლება იმის გამო, რომ მოსალოდნელი ჯაჭვი არ ჩანდა, დიაგნოზი არ არის.

მრიცხველები ამტკიცებენ მიღწევას, არა განაჩენს

წესის მრიცხველები გეუბნებიან, რომ წესს მიაღწიეს. ისინი არ გეუბნებიან, რომ მოგვიანებით წესმა ოპერაცია დაუშვა, და არ ამტკიცებენ, რომ ყველა ალტერნატიული გზა უარყოფილია. წაიკითხეთ ისინი ერთი უვნებელი ნებადართული ნაკადის დროს, წესების რიგითობასა და ჯაჭვის მიბმასთან ერთად, და განიხილეთ ისინი როგორც ერთი დაკვირვება და არა განაჩენი. არანულოვანი მრიცხველი drop წესზე ნიშნავს, რომ ტრაფიკი მას შეეხო; ის არაფერს ამბობს ტრაფიკზე, რომელიც არ შეხებია.

ბირთვის IP გადამისამართება სრულიად ცალკე პარამეტრია. ჯაჭვის არსებობა გადამისამართებას არ რთავს, ხოლო ნაცნობი იარლიყის არარსებობა არ ნიშნავს, რომ გადამისამართება შეწყდა.

აღწერეთ ნაკადი, რომლის დაცვაც გსურთ

ჩაწერეთ ერთი კლიენტის მოთხოვნა დეკაპსულაციის შემდეგ: მისი წყარო, დანიშნულება, მისამართების ოჯახი და ის, სრულდება თუ არა ის კარიბჭესთან თუ გადის მასში. ლოკალური სერვისის შემავალი და გადამისამართებული ტრაფიკი სხვადასხვა წერტილში შეინიშნება, ამიტომ მათ სხვადასხვა წესი და სხვადასხვა ტესტი სჭირდებათ. ხიდული VPN-ისთვის შეამოწმეთ ხიდის გზაც, რადგან IP დონის ჯაჭვი ავტომატურად არ აკონტროლებს Ethernet კადრებს.

დისტანციური კარიბჭის შეცვლამდე შეინარჩუნეთ დამოუკიდებელი აღდგენის წვდომა. შემდეგ დაადასტურეთ განზრახული ნაკადი და საჭირო უარყოფები იმავე წესების ერთობლიობის ქვეშ. ნაცნობი სახელის ახალი ცარიელი ჯაჭვი შეკეთება არ არის.

შედარება მთავრდება ერთი კითხვით: რომელ კაუჭს იძახებს ბირთვი სინამდვილეში ამ პაკეტისთვის? უპასუხეთ ამას და ჯაჭვის სახელს აღარ აქვს მნიშვნელობა.