Den Numm vun enger Kette ass keen Hook: iptables géint nftables

Béid Firewallen kënne weidergereechten VPN-Traffic filteren, an si hänken d'Regelen op ënnerschiddlech Manéieren un de Paketwee. iptables huet agebaut Ketten an enger Tabell, dofir existéiert FORWARD als en genannten Hook-Punkt. nftables trennt den Numm vun enger Kette vun hirem Typ, hirem Hook an hirer Prioritéit, dat heescht eng normal Kette mam Numm FORWARD filtert guer näischt. D'Vergläiche vun de béiden Modeller erkläert, firwat en Aschreiwung, deen an engem Tool richteg ausgesäit, am aneren näischt bewierkt.

Eng Kette ass e Behälter. Ob de Kernel se consultéiert hänkt vun der Implementatioun an dovun of, wéi de Reegelset se unhänkt.

Zwee Modeller, zwee verschidde Verbindungen

An iptables kënnt d'filter-Tabell mat dräi agebaut Ketten, INPUT, FORWARD an OUTPUT, an -N mécht eng benotzerdefinéiert Kette, déi nëmmen dann wierkt, wann een aus enger vun hinnen op si spréngt. D'nftables-Handbuch definéiert amplaz Base Chains, déi hiren Typ, Hook an hir Prioritéit deklaréieren, a normal Ketten, déi dat net maachen. Eng Base Chain kann all Numm droen, an eng normal Kette mam Numm FORWARD kritt keng Eegeschaft vun hirem Label. Dat ass den ganze Ënnerscheed, an en ass onsiichtbar an engem Tutorial, deen nëmmen de Reegeltext weist.

Kompatibilitéits-Backends bäi en zweet Grond, fir d'Verhalen net aus engem Kommandonumm ofzeleeden. D'iptables-Dokumentatioun ernimmt Operatiounen, déi ënner iptables-nft anescht sinn, dofir behandelt natives nftables, iptables-nft an e Legacy-Reegelset als dräi Systemer an net als dräi Schreifweisen vun engem.

Liest de Feeler a sengem richtege Kontext

Eng fehlend Tabell, e Berechtegungsausfall, eng net verfügbar Kernel-Funktioun an eng fehlend genannten Kette sinn véier verschidde Feststellungen, an nëmmen eng geet ëm d'Kette. Notéiert d'Versioun vum Tool, d'Adressfamill an d'Tabell, déi ugefrot goufen, den Netzwierk-Namespace an den éischten exakten Feeler. Préift duerno, wéi eng Komponent de Reegelset besëtzt: e Firewall-Service oder en produktverwaltete Gateway kann seng eege Ketten an Uerdnung generéieren. Eng nativ Kette derbäi ze setzen léisst d'verwalt Politik onberéiert an d'Inventar nach méi verwirrend.

Den Namespace vun engem Container kann e Reegelset halen, deen anescht ass wéi dee vum Host, dofir kann e Kommando am falsche Kontext net weisen, wéi eng Kette en weidergereechte Paket gesinn huet. Rechter erhéijen, well eng erwaart Kette net sichtbar war, ass keng Diagnos.

Countere beweise Erreechen, net Urteel

Reegel-Countere soen Iech, datt eng Reegel erreecht gouf. Si soen Iech net, datt eng méi spéit Reegel d'Operatioun erlaabt huet, a si beweise net, datt all alternativen Wee ofgeleent gouf. Liest se während engem harmlose autoriséierte Flux, zesumme mat der Reegeluerdnung an der Kettenverbindung, a behandelt se als eng Observatioun an net als Urteel. En Net-Null-Counter op enger Drop-Reegel heescht, datt den Traffic se getraff huet; iwwer Traffic, deen se net getraff huet, seet en näischt.

Kernel-IP-Forwarding ass eng komplett separat Astellung. D'Existenz vun enger Kette aktivéiert d'Forwarding net, an e bekannten Label, deen feelt, heescht net, datt d'Forwarding opgehalen huet.

Beschreift de Flux, deen Dir wëllt schützen

Schreift eng Client-Ufro no der Dekapsuléierung op: hir Quell, hiert Zil, d'Adressfamill, an ob se um Gateway endet oder duerch et geet. Den Input vum lokale Service an de weidergereechten Traffic ginn op verschiddene Punkte observéiert, dofir brauche se verschidde Regelen a verschidde Tester. Fir eng Bridged-VPN préift och de Bridge-Wee, well eng Kette op IP-Niveau Ethernet-Frames net automatesch iwwerwaacht.

Erhaalt en onofhängegen Erhuelungszougang, ier Dir en Remote-Gateway ännert. Bestätegt duerno de geplangte Flux an déi noutwendeg Oflehnungen ënner demselwechte Reegelset. Eng nei eidel Kette mat engem bekannten Numm ass keng Reparatur.

D'Vergläiche endet an enger Fro: wéi en Hook rifft de Kernel tatsächlech fir dëse Paket op? Äntwert dorop, an den Numm vun der Kette ass net méi wichteg.