Тизменин аталышы илмек эмес: iptables жана nftables

Эки брандмауэр тең өткөрүлүп жаткан VPN трафигин чыпкалай алат жана эрежелерди пакет жолуна ар башка жол менен байланыштырат. iptables'те таблицанын ичинде курулган тизмелер бар, ошондуктан FORWARD аттуу илмек чекити катары бар. nftables тизменин атын анын түрүнөн, илмегинен жана артыкчылыгынан бөлөт, башкача айтканда FORWARD деп аталган жөнөкөй тизме эч нерсени чыпкалабайт. Эки моделди салыштыруу бир куралда туура көрүнгөн жазуу экинчисинде эмне үчүн таасир этпей турганын түшүндүрөт.

Тизме — идиш. Ядро аны текшереби, бул ишке ашырууга жана эрежелер жыйындысы аны кантип байланыштырарына байланыштуу.

Эки модел, эки башка байланыш

iptables'те filter таблицасы үч курулган тизме менен келет: INPUT, FORWARD жана OUTPUT, ал эми -N колдонуучу аныктаган тизме жаратат, ал алардын бирөөнөн ага секиргенде гана күчүнө кирет. nftables колдонмосу анын ордуна өз түрүн, илмегин жана артыкчылыгын жарыялаган базалык тизмелерди жана аны жасабаган жөнөкөй тизмелерди аныктайт. Базалык тизме каалаган атты алышы мүмкүн, ал эми FORWARD деп аталган жөнөкөй тизме өз белгисинен эч кандай касиет албайт. Бул — бүткүл айырма, жана ал эреженин текстин гана көрсөткөн окуу куралында көрүнбөйт.

Шайкештик бэкенддери жүрүм-турумду буйруктун атынан божомолдобоого экинчи себеп кошот. iptables документтери iptables-nft астында айырмаланган операцияларды белгилейт, ошондуктан жергиликтүү nftables, iptables-nft жана мураскер эрежелер жыйындысын бир нерсенин үч жазылышы эмес, үч система катары караңыз.

Катаны анын чыныгы контекстинде окуңуз

Жок таблица, уруксаттын ишке ашпай калышы, жеткиликсиз ядролук мүмкүнчүлүк жана жок аталган тизме — төрт башка тыянак, алардын бирөө гана тизмеге тиешелүү. Куралдын версиясын, суралган даректер үй-бүлөсүн жана таблицаны, тармактык аттар мейкиндигин жана биринчи так катаны жазып алыңыз. Андан кийин эрежелер жыйындысын кайсы компонент ээлегенин текшериңиз: брандмауэр кызматы же продукт башкарган шлюз өз тизмелерин жана тартибин түзүшү мүмкүн. Алардын жанына жергиликтүү тизме кошуу башкарылуучу саясатты өзгөртпөйт, ал эми тизмелерди дагы баш аламан кылат.

Контейнердин аттар мейкиндиги хосттон башка эрежелер жыйындысын кармашы мүмкүн, ошондуктан туура эмес контекстте иштетилген буйрук өткөрүлгөн пакетти кайсы тизме көргөнүн көрсөтө албайт. Күтүлгөн тизме көрүнбөгөндүктөн артыкчылыктарды көтөрүү — диагностика эмес.

Эсептегичтер жетүүнү далилдейт, өкүмдү эмес

Эреже эсептегичтери эрежеге жеткенин айтат. Алар кийинки эреже операцияга уруксат бергенин айтпайт жана бардык альтернатива жолдордун четке кагылганын далилдебейт. Аларды бир зыянсыз уруксат берилген агым учурунда, эреже тартиби жана тизменин байланышы менен бирге окуп, өкүм эмес, бир байкоо катары караңыз. drop эрежесиндеги нөлгө барабар эмес эсептегич трафиктин ага тийгенин билдирет; ал тийбеген трафик жөнүндө эч нерсе айтпайт.

Ядронун IP өткөрүүсү толугу менен өзүнчө жөндөө. Тизменин болушу өткөрүүнү иштетпейт, ал эми тааныш белгинин жоктугу өткөрүү токтогонун билдирбейт.

Коргоону көздөгөн агымды сүрөттөңүз

Декапсуляциядан кийинки бир кардар сурамын жазыңыз: анын булагы, багыты, даректер үй-бүлөсү жана ал шлюзда бүтөбү же андан өтөбү. Жергиликтүү кызматтын кириши жана өткөрүлгөн трафик ар башка чекиттерде байкалат, ошондуктан аларга ар башка эрежелер жана ар башка сыноолор керек. Көпүрөлүү VPN үчүн көпүрө жолун да текшериңиз, анткени IP деңгээлиндеги тизме Ethernet кадрларын автоматтык түрдө көзөмөлдөбөйт.

Алыскы шлюзду өзгөртүүдөн мурун көз карандысыз калыбына келтирүү мүмкүнчүлүгүн сактаңыз. Андан кийин ошол эле эрежелер жыйындысынын астында көздөлгөн агымды жана керектүү баш тартууларды ырастаңыз. Тааныш аттуу жаңы бош тизме — оңдоо эмес.

Салыштыруу бир суроо менен аякталат: бул пакет үчүн ядро чындыгында кайсы илмекти чакырат? Ошого жооп бериңиз, ошондо тизменин аты мындан ары маанилүү болбойт.