VPN интерфейси келгенде nftables саясатын туруктуу кармаңыз

Туннелдер бир жолу колдонулат; саясат андай болбошу керек. Linux дарбазасында туннелдин интерфейсин аты боюнча дал келтирген nftables эрежесин бир жолу жүктөөгө болот жана ал интерфейс ар бир пайда болгон сайын колдонула берет. Интерфейстин дагы эле жашоо цикл бар: ал түзүлөт, жоголот, ал эми анын айланасындагы маршруттар жана котормолор өз графигин ээрчийт. Ушул ээлерди бөлүү кайра туташуу учурунда кирүүнү туруктуу кармайт.

Ат боюнча дал келүү интерфейстен узак жашайт

nftables интерфейс индексинин сандык дал келүүлөрүн жана iifname менен oifname аттарынын динамикалык дал келүүлөрүн сунуш кылат. Бул аттарды колдонгон эрежелер туннелдин түзмөгү али түзүлбөсө да таза жүктөлөт, бул жүктөө учурунда эрежелер жыйнагына так ушул керек. Интерфейстин аты өзгөртүлсө дал келүү токтойт жана жаңы интерфейс ошол атты алса, кайра башталат. Сандык индексте бул касиет жок, ошондуктан туннель үчүн ат формасы кадимки тандоо.

Ат дал келтирүү ачкычы, ал эми экинчи тарапта ким турганынын далили эмес. Өнөктөштү аутентификациялоо VPNдин иши бойдон калат.

Эрежелерди коштон мурун чынжырды окуңуз

Эрежелер жыйнагында азыр эмне бар экенин жана жаңы эреже кайда турарын караңыз, анткени жыйынтыкты тартип чечет.

nft list ruleset
nft -c -f /etc/nftables.conf

Тизме чынжырларды, эрежелерди жана кармагычтарды көрсөтөт, ал эми текшерүү режими талапкер файлды жүктөбөстөн текшерет. Ошол эле агым үчүн мурунку уруксаттан кийин коюлган туннелге гана арналган уруксат эч нерсени өзгөртпөйт, анткени биринчи дал келген эреже жеңет. Ошондуктан кеч коюлган эреже туура көрүнүп, эч кандай таасири болбошу мүмкүн. Чынжырды тартиби менен окуп, кардардан жогорку байланышка багытталган трафиктин тыюусу дагы эле ар кандай кененирээк нерседен мурун турарын ырастаңыз.

Маршруттардын, котормонун жана агымдардын башка ээлери бар

Интерфейстин болушу маршруттарды түзбөйт жана өнөктөштү аутентификациялабайт. Алар VPN менеджерине таандык, ал эми котормонун үчүнчү жашоо цикли бар.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack тизмеси бар агымдарды алардын баштапкы жана которулган маанилери менен көрсөтөт, ал эми маршруттар тизмеси менеджер интерфейс үчүн эмнени орнотконун көрсөтөт. NAT эрежелери туташууну көзөмөлдөө абалын биринчи пакетте түзөт, ошондуктан орнотулган агым эреже өзгөргөндөн кийин да өз котормосун сактайт. Ошондуктан жаңыртылып жаткан эреже менен жаңы жолду колдонгон агым эки башка билдирүү. Кайсы сессиялар кайра туташуусу керектигин чечип, байланышы жок агымдарды тынч калтырыңыз.

Муздак баштоону, жоготууну жана калыбына келүүнү кабыл алыңыз

Дарбазаны туннель жүктөө учурунда жок кезде, анан бар кезде, анан үзгүлтүк жана кайтуудан кийин сынаңыз. Туннель жок кезде тыюу салынган өткөрүү тыюу салынган бойдон каларын, өнөктөш аутентификациялангандан кийин жаңы уруксат берилген агым иштешин жана калыбына келүү байланышы жок абалды тазалоону талап кылбашын ырастаңыз. Бир профилдин токтотуу аракети катары бүтүндөй POSTROUTING чынжырын же ар бир conntrack жазуусун тазалабаңыз, анткени башка кызматтар аларды бөлүшөт. Баштоо илгичи нөл менен чыкканын гана эмес, кайсы компонент интерфейсти, маршрутту жана саясатты өзгөрткөнүн жазыңыз.

Кайра туташуудан аман калган саясат ээлери аталган жана эрежелери туннель ылдый да, өйдө да абалда сыналган саясат. Ийгилик жөнүндө билдирген илгич илгичтин иштегенин гана далилдейт.