VPN ಇಂಟರ್ಫೇಸ್ ಬರುವಾಗ nftables ನೀತಿಯನ್ನು ಸ್ಥಿರವಾಗಿ ಇರಿಸಿ

ಟನೆಲ್ಗಳು ಬಳಸಿ ಬಿಸಾಡುವಂಥವು; ನೀತಿ ಹಾಗಿರಬಾರದು. Linux ಗೇಟ್ವೇಯಲ್ಲಿ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ ಅನ್ನು ಹೆಸರಿನಿಂದ ಹೊಂದಿಸುವ nftables ನಿಯಮವನ್ನು ಒಮ್ಮೆ ಲೋಡ್ ಮಾಡಬಹುದು ಮತ್ತು ಆ ಇಂಟರ್ಫೇಸ್ ಪ್ರತಿ ಬಾರಿ ಬಂದಾಗಲೂ ಅದು ಅನ್ವಯವಾಗುತ್ತದೆ. ಇಂಟರ್ಫೇಸ್ಗೆ ಇನ್ನೂ ಜೀವನಚಕ್ರವಿದೆ: ಅದು ರಚನೆಯಾಗುತ್ತದೆ, ಹೋಗುತ್ತದೆ, ಮತ್ತು ಅದರ ಸುತ್ತಲಿನ ಮಾರ್ಗಗಳು ಹಾಗೂ ಅನುವಾದಗಳು ತಮ್ಮದೇ ವೇಳಾಪಟ್ಟಿಯನ್ನು ಅನುಸರಿಸುತ್ತವೆ. ಈ ಮಾಲೀಕರನ್ನು ಬೇರ್ಪಡಿಸುವುದೇ ಮರುಸಂಪರ್ಕದ ಸಮಯದಲ್ಲಿ ಪ್ರವೇಶವನ್ನು ಸ್ಥಿರವಾಗಿ ಇರಿಸುತ್ತದೆ.

ಹೆಸರಿನ ಹೊಂದಾಣಿಕೆ ಇಂಟರ್ಫೇಸ್ಗಿಂತ ಹೆಚ್ಚು ಕಾಲ ಬದುಕುತ್ತದೆ

nftables ಸಂಖ್ಯಾತ್ಮಕ ಇಂಟರ್ಫೇಸ್-ಸೂಚ್ಯಂಕ ಹೊಂದಾಣಿಕೆಗಳನ್ನು ಮತ್ತು ಕ್ರಿಯಾಶೀಲ ಹೆಸರು-ಹೊಂದಾಣಿಕೆಗಳನ್ನು iifname ಮತ್ತು oifname ನೀಡುತ್ತದೆ. ಈ ಹೆಸರುಗಳನ್ನು ಬಳಸುವ ನಿಯಮಗಳು ಟನೆಲ್ ಸಾಧನವು ಇನ್ನೂ ರಚನೆಯಾಗದಿದ್ದರೂ ಸ್ವಚ್ಛವಾಗಿ ಲೋಡ್ ಆಗುತ್ತವೆ, ಇದು ಬೂಟ್ ಸಮಯದಲ್ಲಿ ನಿಯಮಗಳ ಗುಂಪಿಗೆ ನಿಖರವಾಗಿ ಬೇಕಾದದ್ದು. ಇಂಟರ್ಫೇಸ್ ಮರುನಾಮಕರಣವಾದರೆ ಹೊಂದಾಣಿಕೆ ನಿಲ್ಲುತ್ತದೆ ಮತ್ತು ಹೊಸ ಇಂಟರ್ಫೇಸ್ ಆ ಹೆಸರನ್ನು ತೆಗೆದುಕೊಂಡಾಗ ಮತ್ತೆ ಆರಂಭವಾಗುತ್ತದೆ. ಸಂಖ್ಯಾತ್ಮಕ ಸೂಚ್ಯಂಕಕ್ಕೆ ಆ ಗುಣವಿಲ್ಲ, ಆದ್ದರಿಂದ ಟನೆಲ್ಗೆ ಹೆಸರಿನ ರೂಪವೇ ಸಾಮಾನ್ಯ ಆಯ್ಕೆ.

ಹೆಸರು ಹೊಂದಾಣಿಕೆಯ ಕೀಲಿ, ಇನ್ನೊಂದು ತುದಿಯಲ್ಲಿ ಯಾರಿದ್ದಾರೆ ಎಂಬುದರ ಸಾಕ್ಷ್ಯವಲ್ಲ. ಸಹವರ್ತಿಯ ದೃಢೀಕರಣ VPN ನ ಕೆಲಸವೇ ಆಗಿರುತ್ತದೆ.

ನಿಯಮಗಳನ್ನು ಸೇರಿಸುವ ಮೊದಲು ಸರಪಣಿಯನ್ನು ಓದಿ

ನಿಯಮಗಳ ಗುಂಪಿನಲ್ಲಿ ಈಗ ಏನಿದೆ ಮತ್ತು ಹೊಸ ನಿಯಮ ಎಲ್ಲಿ ಕುಳಿತುಕೊಳ್ಳುತ್ತದೆ ಎಂಬುದನ್ನು ನೋಡಿ, ಏಕೆಂದರೆ ಕ್ರಮವೇ ಫಲಿತಾಂಶವನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ.

nft list ruleset
nft -c -f /etc/nftables.conf

ಪಟ್ಟಿ ಸರಪಣಿಗಳು, ನಿಯಮಗಳು ಮತ್ತು ಹಿಡಿಗಳನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಪರಿಶೀಲನಾ ಕ್ರಮವು ಅಭ್ಯರ್ಥಿ ಕಡತವನ್ನು ಲೋಡ್ ಮಾಡದೆ ಪರಿಶೀಲಿಸುತ್ತದೆ. ಅದೇ ಹರಿವಿಗೆ ಹಿಂದಿನ ಸ್ವೀಕೃತಿಯ ನಂತರ ಇಡಲಾದ ಟನೆಲ್-ಮಾತ್ರ ಅನುಮತಿ ಏನನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಮೊದಲು ಹೊಂದುವ ನಿಯಮವೇ ಗೆಲ್ಲುತ್ತದೆ. ಆದ್ದರಿಂದ ತಡವಾದ ನಿಯಮ ಸರಿಯಾಗಿ ಕಾಣಬಹುದು ಆದರೆ ಯಾವುದೇ ಪರಿಣಾಮವಿರದು. ಸರಪಣಿಯನ್ನು ಕ್ರಮವಾಗಿ ಓದಿ ಮತ್ತು ಕ್ಲೈಂಟ್ನಿಂದ ಮೇಲ್ಮುಖ ಕೊಂಡಿಗೆ ಹೋಗುವ ಸಂಚಾರದ ನಿಷೇಧವು ಇನ್ನೂ ಯಾವುದೇ ವಿಶಾಲವಾದದಕ್ಕಿಂತ ಮೊದಲು ಬರುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಮಾರ್ಗಗಳು, ಅನುವಾದ ಮತ್ತು ಹರಿವುಗಳಿಗೆ ಬೇರೆ ಮಾಲೀಕರಿದ್ದಾರೆ

ಇಂಟರ್ಫೇಸ್ನ ಇರುವಿಕೆ ಯಾವುದೇ ಮಾರ್ಗಗಳನ್ನು ಸೃಷ್ಟಿಸುವುದಿಲ್ಲ ಮತ್ತು ಸಹವರ್ತಿಯನ್ನು ದೃಢೀಕರಿಸುವುದಿಲ್ಲ. ಅವು VPN ನಿರ್ವಾಹಕನಿಗೆ ಸೇರಿವೆ, ಆದರೆ ಅನುವಾದಕ್ಕೆ ಮೂರನೇ ಜೀವನಚಕ್ರವಿದೆ.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack ಪಟ್ಟಿ ಇರುವ ಹರಿವುಗಳನ್ನು ಅವುಗಳ ಮೂಲ ಮತ್ತು ಅನುವಾದಿತ ಮೌಲ್ಯಗಳೊಂದಿಗೆ ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಮಾರ್ಗ ಪಟ್ಟಿ ನಿರ್ವಾಹಕನು ಇಂಟರ್ಫೇಸ್ಗೆ ಏನನ್ನು ಸ್ಥಾಪಿಸಿದನೆಂದು ತೋರಿಸುತ್ತದೆ. NAT ನಿಯಮಗಳು ಮೊದಲ ಪ್ಯಾಕೆಟ್ನಲ್ಲೇ ಸಂಪರ್ಕ-ಜಾಡಿನ ಸ್ಥಿತಿಯನ್ನು ಸ್ಥಾಪಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಸ್ಥಾಪಿತ ಹರಿವು ನಿಯಮ ಬದಲಾದ ನಂತರವೂ ತನ್ನ ಅನುವಾದವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಆದ್ದರಿಂದ ನಿಯಮ ನವೀಕರಣಗೊಳ್ಳುವುದು ಮತ್ತು ಹೊಸ ಮಾರ್ಗವನ್ನು ಬಳಸುವ ಹರಿವು ಎರಡು ಬೇರೆ ಹೇಳಿಕೆಗಳು. ಯಾವ ಅವಧಿಗಳು ಮತ್ತೆ ಸಂಪರ್ಕಗೊಳ್ಳಬೇಕೆಂದು ನಿರ್ಧರಿಸಿ ಮತ್ತು ಸಂಬಂಧವಿಲ್ಲದ ಹರಿವುಗಳನ್ನು ಬಿಡಿ.

ಶೀತ ಆರಂಭ, ನಷ್ಟ ಮತ್ತು ಚೇತರಿಕೆಯನ್ನು ಒಪ್ಪಿಕೊಳ್ಳಿ

ಬೂಟ್ ಸಮಯದಲ್ಲಿ ಟನೆಲ್ ಇಲ್ಲದೆ, ನಂತರ ಅದು ಇದ್ದಾಗ, ನಂತರ ಕಡಿತ ಮತ್ತು ಹಿಂತಿರುಗುವಿಕೆಯ ನಂತರ ಗೇಟ್ವೇಯನ್ನು ಪರೀಕ್ಷಿಸಿ. ಟನೆಲ್ ಇಲ್ಲದಿರುವಾಗ ನಿಷಿದ್ಧ ಫಾರ್ವರ್ಡಿಂಗ್ ನಿಷಿದ್ಧವಾಗಿಯೇ ಉಳಿಯುತ್ತದೆ, ಸಹವರ್ತಿ ದೃಢೀಕರಣದ ನಂತರ ಹೊಸ ಅನುಮತಿಸಿದ ಹರಿವು ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಚೇತರಿಕೆಗೆ ಸಂಬಂಧವಿಲ್ಲದ ಸ್ಥಿತಿಯನ್ನು ಖಾಲಿ ಮಾಡುವ ಅಗತ್ಯವಿಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಒಂದು ಪ್ರೊಫೈಲ್ನ ನಿಲ್ಲಿಸುವ ಕ್ರಿಯೆಯಾಗಿ ಇಡೀ POSTROUTING ಸರಪಣಿಯನ್ನಾಗಲಿ ಪ್ರತಿ conntrack ನಮೂದನ್ನಾಗಲಿ ಅಳಿಸಬೇಡಿ, ಏಕೆಂದರೆ ಇತರ ಸೇವೆಗಳು ಅವನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತವೆ. ಸ್ಟಾರ್ಟ್ ಹುಕ್ ಶೂನ್ಯದೊಂದಿಗೆ ಹೊರಟಿದೆ ಎಂಬುದಷ್ಟೇ ಅಲ್ಲ, ಯಾವ ಘಟಕ ಇಂಟರ್ಫೇಸ್, ಮಾರ್ಗ ಮತ್ತು ನೀತಿಯನ್ನು ಬದಲಿಸಿತು ಎಂಬುದನ್ನು ದಾಖಲಿಸಿ.

ಮರುಸಂಪರ್ಕವನ್ನು ಬದುಕುವ ನೀತಿ ಎಂದರೆ ಅದರ ಮಾಲೀಕರು ಹೆಸರಿಸಲ್ಪಟ್ಟಿರುವ ಮತ್ತು ಅದರ ನಿಯಮಗಳು ಟನೆಲ್ ಕೆಳಗೆ ಮತ್ತು ಮೇಲೆ ಎರಡೂ ಸ್ಥಿತಿಯಲ್ಲಿ ಪರೀಕ್ಷಿಸಲ್ಪಟ್ಟಿರುವ ನೀತಿ. ಯಶಸ್ಸನ್ನು ವರದಿ ಮಾಡುವ ಹುಕ್ ಹುಕ್ ಓಡಿತು ಎಂಬುದನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.