nftables: ಡ್ರಾಪ್ ಹ್ಯಾಂಡಲ್ಗಿಂತ ಮೊದಲು VPN ಅನುಮತಿ ನಿಯಮವನ್ನು ಸೇರಿಸಿ

ಅನುಮತಿ ನಿಯಮವನ್ನು ತಪ್ಪು ಸ್ಥಳದಲ್ಲಿ ಇಟ್ಟರೆ ಅದು ನಿಯಮವೇ ಇಲ್ಲದಂತೆ ವರ್ತಿಸುತ್ತದೆ. nftables ನಲ್ಲಿ insert ಮತ್ತು add ನಡುವಿನ ಆಯ್ಕೆ ಹೊಸ ಹೇಳಿಕೆ ಉಲ್ಲೇಖಿತ ನಿಯಮದ ಯಾವ ಬದಿಗೆ ಬೀಳುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಹ್ಯಾಂಡಲ್ ಜೀವಂತ ನಿಯಮಸಂಗ್ರಹದಲ್ಲಿ ನಿಯಮವನ್ನು ಹೆಸರಿಸುತ್ತದೆ, ಅದರ ಸಾಲಿನ ಸಂಖ್ಯೆಯನ್ನಲ್ಲ. ಸ್ಥಳ ತಪ್ಪಾದರೆ ಪ್ಯಾಕೆಟ್ ಮೊದಲು ಡ್ರಾಪ್ ತಲುಪುತ್ತದೆ.

ಕೆಳಗಿನ ಹೋಲಿಕೆ ಒಂದು ಸ್ಥಿರ ಸಹವರ್ತಿ ಮತ್ತು ಒಂದು ಬಾಹ್ಯ ಶ್ರೋತೃ ವಿನಿಮಯವನ್ನು ಬಳಸುತ್ತದೆ. ಇದು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಸಂಕುಚಿತವಾಗಿದೆ; ಇಡೀ ಸರಪಳಿಯನ್ನು ಬದಲಾಯಿಸುವುದು ಬೇರೆ ಅಪಾಯ ಪ್ರೊಫೈಲ್ ಹೊಂದಿರುವ ಬೇರೆ ಬದಲಾವಣೆ.

ಎರಡು ಸ್ಥಳಗಳು, ಎರಡು ವಿಭಿನ್ನ ಫಲಿತಾಂಶಗಳು

insert ಉಲ್ಲೇಖಿತ ನಿಯಮದ ಮೊದಲು ನಿಯಮವನ್ನು ಇಡುತ್ತದೆ. add ಅದನ್ನು ನಂತರ ಇಡುತ್ತದೆ. ಉಲ್ಲೇಖಿತ ನಿಯಮವು ಹರಿವಿನ ಅಂತಿಮ ಡ್ರಾಪ್ ಆಗಿದ್ದರೆ, ನಿಯಮದ ಪಠ್ಯ ಒಂದೇ ಆಗಿದ್ದರೂ ಈ ಎರಡು ಆದೇಶಗಳು ವಿರುದ್ಧ ಫಲಿತಾಂಶ ನೀಡುತ್ತವೆ.

ಸ್ಥಳವನ್ನು ಬಿಟ್ಟುಬಿಡುವುದಕ್ಕೆ ಅದರದೇ ಡೀಫಾಲ್ಟ್ ವರ್ತನೆ ಇದೆ, ಅದು ಫೋರಮ್ನಿಂದ ಆದೇಶವನ್ನು ಅದು ಯಾವುದಕ್ಕೆ ಆಂಕರ್ ಆಗಿದೆ ಎಂದು ಓದದೆ ನಕಲಿಸಬಾರದು ಎಂಬುದಕ್ಕೆ ಇನ್ನೊಂದು ಕಾರಣ. ಆಂಕರ್ ಸಂಪೂರ್ಣ ನಿರ್ಧಾರ. ಆದೇಶ ಬರೆಯುವ ಮೊದಲು ಉದ್ದೇಶಿತ ಬದಿಯನ್ನು ಬರೆಯಿರಿ. ಫೈಲ್ನಲ್ಲಿ insert ಮತ್ತು add ಒಂದು ಪದದ ಅಂತರದಲ್ಲಿವೆ.

ಸ್ಥಳವು ನಿರ್ದಿಷ್ಟ ಸರಪಳಿಯಲ್ಲಿನ ನಿಯಮಕ್ಕೆ ಸಾಪೇಕ್ಷವಾಗಿದೆ. ಅದೇ ಹೇಳಿಕೆಯನ್ನು ಬೇರೆ ಸರಪಳಿಗೆ ಅಥವಾ ಬೇರೆ hook ಆದ್ಯತೆಗೆ ಸರಿಸುವುದು ಅದು ಯಾವ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ನೋಡುತ್ತದೆ ಎಂಬುದನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ, ನಿಯಮದ ವಾಕ್ಯರಚನೆ ಸರಿಯಾಗಿ ಕಂಡರೂ.

ಹ್ಯಾಂಡಲ್ ನಿಯಮವನ್ನು ಗುರುತಿಸುತ್ತದೆ, ಸಾಲಿನ ಸಂಖ್ಯೆಯನ್ನಲ್ಲ

42 ನಂತಹ ಹ್ಯಾಂಡಲ್ ಪ್ರಸ್ತುತ ನಿಯಮಸಂಗ್ರಹ ಸ್ಥಿತಿಯಲ್ಲಿ ಒಂದು ಗುರುತಿಸುವಿಕೆ. ಅದು ನಲವತ್ತೆರಡನೇ ನಿಯಮವಲ್ಲ, ಮತ್ತು ಹೋಸ್ಟ್ಗಳು, ಪುನರ್ನಿರ್ಮಾಣಗಳು ಅಥವಾ ತನ್ನ ಸಂರಚನೆಯನ್ನು ಮರುಲೋಡ್ ಮಾಡುವ ನಿರ್ವಾಹಕದ ನಡುವೆ ಸ್ಥಿರವಲ್ಲ.

ಆಂಕರ್ ಆಯ್ಕೆಮಾಡುವ ಮೊದಲು ಸರಪಳಿ ಮತ್ತು ನಿಜವಾದ ಅಂತಿಮ ಡ್ರಾಪ್ ಅನ್ನು ಹುಡುಕಿ. ನಂತರ ಡ್ರಾಪ್ ತೋರಿಸುವ ಅದೇ ಪಟ್ಟಿಯಲ್ಲಿ ಆ ನಿಯಮದ ಹ್ಯಾಂಡಲ್ ಅನ್ನು ದೃಢೀಕರಿಸಿ, ಸಂಖ್ಯೆ ಮತ್ತು ನಿಯಮ ಒಟ್ಟಿಗೆ ಓದಲ್ಪಡುತ್ತದೆ. ಹಳೆಯ ಪಟ್ಟಿಯಿಂದ ಓದಿದ ಹ್ಯಾಂಡಲ್ ಈಗಾಗಲೇ ಬೇರೆ ನಿಯಮದ್ದಾಗಿರಬಹುದು. ಬದಲಾವಣೆ ಅನ್ವಯಿಸುವ ಅಧಿವೇಶನದಲ್ಲಿ ಅದನ್ನು ಮತ್ತೆ ಓದಿ.

iptables --version
nft -a list ruleset

iptables ಆವೃತ್ತಿ ಯಾವ backend ಬಳಕೆಯಲ್ಲಿದೆ ಎಂದು ತಿಳಿಸುತ್ತದೆ. iptables-nft ನಿಯಮಸಂಗ್ರಹ ಮತ್ತು ಸ್ವತಂತ್ರವಾಗಿ ನಿರ್ವಹಿಸಲಾದ ಸ್ಥಳೀಯ ಕೋಷ್ಟಕ ಜೊತೆಯಾಗಿ ಇರಬಹುದು, ಆದ್ದರಿಂದ ಒಂದು frontendನ ಪಟ್ಟಿ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಸಂಪೂರ್ಣ ಫಿಲ್ಟರಿಂಗ್ ಚಿತ್ರವಲ್ಲ. ಸರಪಳಿ ಆಯ್ಕೆಮಾಡುವ ಮೊದಲು ಎರಡೂ ನೋಟಗಳನ್ನು ಪರಿಶೀಲಿಸಿ.

ನಿಜವಾಗಿ ಡ್ರಾಪ್ ಮಾಡುವ ಸರಪಳಿ ಮತ್ತು ನಿಯಮವನ್ನು ಹುಡುಕಿ

input hook, ಸರಪಳಿಯ ಆದ್ಯತೆ ಮತ್ತು ಈ ಶ್ರೋತೃ ಹರಿವನ್ನು ನಿರಾಕರಿಸುವ ನಿಯಮವನ್ನು ಓದಿ. inet ಕೋಷ್ಟಕ ಎರಡೂ ವಿಳಾಸ ಕುಟುಂಬಗಳನ್ನು ಹೊತ್ತಿರಬಹುದು, ಆದರೆ ಒಂಟಿ ನಿಯಮ ಇನ್ನೂ IPv4 ಗೆ ಮಾತ್ರ ಹೊಂದಿಕೆಯಾಗಬಹುದು.

ಒಂದು ಅನುಮೋದಿತ ಸಹವರ್ತಿಯನ್ನು ತೆಗೆದುಕೊಳ್ಳಿ, ಉದಾಹರಣೆಯಾಗಿ ದಸ್ತಾವೇಜು ಶ್ರೇಣಿಯಿಂದ 198.51.100.25 ಬಳಸಿ. ಪರಿಶೀಲಿತ ಸ್ಥಳೀಯ ಫೈಲ್ ಹ್ಯಾಂಡಲ್ 42 ಕ್ಕಿಂತ ಮೊದಲು ಬಾಹ್ಯ ಅನುಮತಿ ಇಡಬಹುದು:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

ಪರಿಶೀಲನೆಯ ನಂತರ ಕುಟುಂಬ, ಕೋಷ್ಟಕ, ಸರಪಳಿ, ಹ್ಯಾಂಡಲ್, ಒಳಬರುವ ಇಂಟರ್ಫೇಸ್ ಮತ್ತು ಸಹವರ್ತಿಯನ್ನು ಬದಲಾಯಿಸಿ. ಉದಾಹರಣೆ nft 1.0.9 ಗಾಗಿ ದಾಖಲಾದ ಹ್ಯಾಂಡಲ್-ಸ್ಥಳ ರೂಪವನ್ನು ಬಳಸುತ್ತದೆ, ಮತ್ತು ಅದು input ಫೈಲ್ಗೆ ಸೇರುತ್ತದೆ; ಆದೇಶವನ್ನು ಸಂವಾದಾತ್ಮಕವಾಗಿ ಬರೆದಾಗ ಕವಲುಗಳ ಉಲ್ಲೇಖ ಬೇರೆ ವಿಷಯ.

ಸಂರಚನೆಯ ಮಾಲೀಕರನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಇರಿಸಿ. ತನ್ನ ನಿಯಮಗಳನ್ನು ಮತ್ತೆ ನಿರ್ಮಿಸುವ ನಿರ್ವಾಹಕ ರನ್ಟೈಮ್ ಸಂಪಾದನೆಯನ್ನು ಮೇಲೆ ಬರೆಯಬಹುದು, ಮತ್ತು ಹಳೆಯ ಹ್ಯಾಂಡಲ್ ಅನ್ನು ಹಾರ್ಡ್ಕೋಡ್ ಮಾಡುವ ಬೂಟ್ ಸ್ಕ್ರಿಪ್ಟ್ ವಿಫಲವಾಗುತ್ತದೆ ಅಥವಾ ತಪ್ಪು ನಿಯಮಕ್ಕೆ ಸೇರಿಕೊಳ್ಳುತ್ತದೆ.

ಅನುಮತಿ ವ್ಯಾಪ್ತಿಯುಳ್ಳದ್ದು, ಡ್ರಾಪ್ ಅಂತಿಮ

ಅನುಮತಿ ತೀರ್ಪು ತನ್ನ ಪ್ರಸ್ತುತ ಮಾರ್ಗದಲ್ಲಿ ಮೌಲ್ಯಮಾಪನವನ್ನು ಕೊನೆಗೊಳಿಸುತ್ತದೆ, ಆದರೆ ನಂತರ ಅನ್ವಯವಾಗುವ ಮೂಲ ಸರಪಳಿ ಇನ್ನೂ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಡ್ರಾಪ್ ಮಾಡಬಹುದು. ಡ್ರಾಪ್ ತೀರ್ಪು ಅಂತಿಮ. ಆದ್ದರಿಂದ ಏರುತ್ತಿರುವ ಅನುಮತಿ ಕೌಂಟರ್ ಹರಿವು ಯಶಸ್ವಿಯಾದದ್ದಕ್ಕೆ ಸಾಕ್ಷಿಯಲ್ಲ.

ಒಂದು ಸರಪಳಿಯನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರಿಶೀಲಿಸುವ ಬದಲು ಎಲ್ಲಾ ಸಂಬಂಧಿತ hook ಆದ್ಯತೆಗಳನ್ನು ಪರಿಶೀಲಿಸಿ. ಪ್ಯಾಕೆಟ್ input ಫಿಲ್ಟರ್ ದಾಟಿ ಬೇರೆ ಕೋಷ್ಟಕದ hook ನಿಂದ ಬೇರೆ ಆದ್ಯತೆಯಲ್ಲಿ ನಿರಾಕರಿಸಲ್ಪಡಬಹುದು. ಹರಿವನ್ನು ನೋಡಬಲ್ಲ ಪ್ರತಿ ಮೂಲ ಸರಪಳಿಯನ್ನು ಪಟ್ಟಿ ಮಾಡಿ.

ಆ ನಿಯಮ ಬಾಹ್ಯ ಶ್ರೋತೃ ವಿನಿಮಯವನ್ನು ಮಾತ್ರ ಒಳಗೊಳ್ಳುತ್ತದೆ. ಸಾರಿಗೆ-ಸುತ್ತುವರಿದ ESP, ಸ್ಥಳೀಯ ESP, IPv6 ಸಹವರ್ತಿಗಳು ಮತ್ತು ಸುರಂಗದೊಳಗಿನ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಸಂಚಾರ ಎಲ್ಲಕ್ಕೂ ತಮ್ಮದೇ ನೀತಿಗಳು ಬೇಕು. ಇದು ಸಂಪೂರ್ಣ ಸೈಟ್ VPN ಫೈರ್ವಾಲ್ ಅಲ್ಲ.

ಫೈಲ್ ಪರಿಶೀಲಿಸಿ, ನಂತರ ಜೀವಂತ ಫಲಿತಾಂಶವನ್ನು ಪರಿಶೀಲಿಸಿ

ಅನ್ವಯಿಸುವ ಮೊದಲು ಪರಿಶೀಲಿತ ಫೈಲ್ನಲ್ಲಿ ವಾಕ್ಯರಚನೆ ಮತ್ತು ವಹಿವಾಟು ಪರಿಶೀಲನೆ ನಡೆಸಿ. ಪರಿಶೀಲನಾ ಮೋಡ್ nft ಬದಲಾವಣೆಯನ್ನು ಪಾರ್ಸ್ ಮಾಡಿ ಸಿದ್ಧಪಡಿಸಬಹುದೇ ಎಂದು ತಿಳಿಸುತ್ತದೆ; ಅದು ಅದನ್ನು ಅನ್ವಯಿಸುವುದಿಲ್ಲ ಮತ್ತು ಬೇರೆ hook ಪ್ಯಾಕೆಟ್ಗೆ ಅನುಮತಿ ನೀಡುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಮಾಲೀಕರು ಅನ್ವಯಿಸುವವರೆಗೆ ಫೈಲ್ ಪ್ರಸ್ತಾವವಾಗಿ ಉಳಿಯುತ್ತದೆ:

nft -c -f reviewed-vpn-rule.nft

ಮಾಲೀಕರ ನಿಯಂತ್ರಿತ ಪ್ರಕ್ರಿಯೆಯ ಮೂಲಕ ಅನ್ವಯಿಸಿ ಮತ್ತು ಚೇತರಿಕೆ ಪ್ರವೇಶವನ್ನು ಕಾಪಾಡಿ. ನಿಯಮ ತಪ್ಪಾಗಿದ್ದರೆ, ನೀವು ಮೊದಲು ಹೋಗಲು ಪ್ರಯತ್ನಿಸಿದ ಡ್ರಾಪ್ ಅದನ್ನು ಸರಿಪಡಿಸಲು ಬಳಸುವ ಮಾರ್ಗವನ್ನೂ ಕತ್ತರಿಸಬಹುದು.

ಬದಲಾವಣೆಯ ನಂತರ ಹೊಸ ಅನುಮೋದಿತ ಸಹವರ್ತಿ ಪ್ರಯತ್ನವನ್ನು ಗಮನಿಸಿ ಮತ್ತು ಅನುಮೋದಿತ ಸಹವರ್ತಿಯ ಹೊರಗಿನ ಮೂಲಗಳು ಇನ್ನೂ ನಿರಾಕರಿಸಲ್ಪಡುತ್ತಿವೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಶಾಶ್ವತ ನಿಯಮವನ್ನು ನಿಯಮಸಂಗ್ರಹವನ್ನು ಹೊಂದಿರುವ ನಿರ್ವಾಹಕನಿಗೆ ಸರಿಸಿ, ಏಕೆಂದರೆ ರನ್ಟೈಮ್ ಹ್ಯಾಂಡಲ್ಗಳು ಪ್ರಸ್ತುತ ವಸ್ತುಗಳನ್ನು ಪತ್ತೆಮಾಡುತ್ತವೆ, ಬೂಟ್ಗಳ ನಡುವೆ ಅವನ್ನು ಗುರುತಿಸುವುದಿಲ್ಲ.