nftables: VPN рұқсат ережесін drop тұтқасының алдына кірістіріңіз

Рұқсат ережесін дұрыс емес орынға қойсаңыз, ол ереже мүлдем жоқ сияқты әрекет етеді. nftables ішінде insert пен add арасындағы таңдау жаңа тұжырымның сілтеме жасалған ереженің қай жағына түсетінін анықтайды, ал тұтқа ережені тірі ережелер жиынында атайды, оның жол нөмірін емес. Орналастыру қате болса, пакет алдымен drop-қа жетеді.

Төмендегі салыстыру бір тіркелген серіктесті және бір сыртқы тыңдаушы алмасуын пайдаланады. Ол әдейі тар; бүкіл тізбекті ауыстыру — басқа тәуекел профилі бар басқа өзгеріс.

Екі орналастыру, екі түрлі нәтиже

insert ережені сілтеме жасалған ереженің алдына қояды. add оны одан кейін қояды. Егер сілтеме жасалған ереже ағын үшін соңғы drop болса, ереже мәтіні бірдей болса да, бұл екі команда қарама-қарсы нәтиже береді.

Орынды өткізіп жіберудің өз әдепкі әрекеті бар, бұл форумнан команданы оның неге бекітілгенін оқымай көшірмеуге тағы бір себеп. Бекітпе — бүкіл шешім. Команданы термес бұрын көзделген жақты жазып қойыңыз. Файлда insert пен add бір сөзбен ерекшеленеді.

Орналастыру нақты тізбектегі ережеге қатысты. Сол тұжырымды басқа тізбекке немесе басқа hook басымдығына жылжыту оның қандай пакеттерді көретінін өзгертеді, ереже синтаксисі дұрыс көрінсе де.

Тұтқа ережені анықтайды, жол нөмірін емес

42 сияқты тұтқа — ережелер жиынының ағымдағы күйіндегі идентификатор. Ол қырық екінші ереже емес және хосттар, қайта құрулар немесе конфигурациясын қайта жүктейтін менеджер арасында тұрақты емес.

Бекітпені таңдамас бұрын тізбекті және нақты соңғы drop-ты табыңыз. Содан кейін drop-ты көрсететін сол тізімдегі ережедегі тұтқаны растаңыз, нөмір мен ереже бірге оқылсын. Ескі тізімнен оқылған тұтқа басқа ережеге тиесілі болуы мүмкін. Оны өзгерісті қолданатын сессияда қайта оқыңыз.

iptables --version
nft -a list ruleset

iptables нұсқасы қай backend қолданылып жатқанын хабарлайды. iptables-nft ережелер жиыны мен дербес басқарылатын жергілікті кесте қатар өмір сүре алады, сондықтан бір frontend-тен алынған тізім автоматты түрде толық сүзу көрінісі емес. Тізбек таңдамас бұрын екі көріністі де тексеріңіз.

Шынымен drop жасайтын тізбек пен ережені табыңыз

input hook-ты, тізбек басымдығын және осы тыңдаушы ағынын қабылдамайтын ережені оқыңыз. inet кестесі екі мекенжай тобын да ұстай алады, бірақ жеке ереже әлі де тек IPv4-ке сәйкес келуі мүмкін.

Бір мақұлданған серіктесті алыңыз, мысал ретінде құжаттама ауқымынан 198.51.100.25 пайдаланыңыз. Қаралған жергілікті файл 42 тұтқасының алдына сыртқы рұқсат қоя алады:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Тексеруден кейін отбасын, кестені, тізбекті, тұтқаны, кіру интерфейсін және серіктесті ауыстырыңыз. Мысал nft 1.0.9 үшін құжатталған тұтқа-орналасу формасын пайдаланады және ол кіру файлына тиесілі; команда интерактивті терілгенде жақшаларды тырнақшаға алу бөлек мәселе.

Конфигурация иесін анық ұстаңыз. Ережелерін қайта құратын менеджер орындалу уақытындағы өзгерісті қайта жаза алады, ал ескірген тұтқаны қатты кодтайтын жүктеу скрипті не сәтсіз аяқталады, не дұрыс емес ережеге байланысады.

Рұқсат шектеулі, drop түпкілікті

Рұқсат үкімі бағалауды ағымдағы жолында аяқтайды, бірақ кейінірек қолданылатын базалық тізбек пакетті әлі де drop ете алады. Drop үкімі түпкілікті. Сондықтан өсіп келе жатқан рұқсат санағышы ағынның сәтті болғанының дәлелі емес.

Бір тізбекті оқшаулап тексерудің орнына барлық тиісті hook басымдықтарын тексеріңіз. Пакет input сүзгісінен өтіп, басқа кестенің hook-ы оны басқа басымдықта қабылдамауы мүмкін. Ағынды көре алатын әрбір базалық тізбекті тізімдеңіз.

Бұл ереже тек сыртқы тыңдаушы алмасуын қамтиды. Көлікпен инкапсуляцияланған ESP, жергілікті ESP, IPv6 серіктестері және туннель ішіндегі шифры ашылған трафик — бәріне өз саясаттары қажет. Бұл сайт VPN-інің толық брандмауэрі емес.

Файлды тексеріңіз, содан кейін тірі нәтижені растаңыз

Қолданар алдында қаралған файлда синтаксис пен транзакция тексеруін іске қосыңыз. Тексеру режимі nft өзгерісті талдап, дайындай алатынын хабарлайды; ол оны қолданбайды және басқа hook пакетке рұқсат беретінін дәлелдемейді. Файл иесі қолданғанша ұсыныс болып қалады:

nft -c -f reviewed-vpn-rule.nft

Иесінің бақыланатын процесі арқылы қолданыңыз және қалпына келтіру қолжетімділігін сақтаңыз. Ереже дұрыс болмаса, алдына өтпек болған drop оны түзету үшін пайдаланатын жолды да кесіп тастауы мүмкін.

Өзгерістен кейін рұқсат етілген серіктестің жаңа әрекетін бақылаңыз және мақұлданған серіктестен тыс көздер әлі де қабылданбайтынын тексеріңіз. Тұрақты ережені ережелер жиынына ие менеджерге жылжытыңыз, өйткені орындалу уақытындағы тұтқалар ағымдағы нысандарды табады, оларды жүктеулер арасында анықтамайды.