nftables: setzt d’VPN-Erlabnesregel virum Drop-Handle an

Setzt eng Erlabnesregel op déi falsch Plaz an se verhält sech wéi keng Erlabnesregel. An nftables entscheet d’Wiel tëschent insert an add, op wéi enger Säit vun enger referenzéierter Regel den neien Ausdrock land, an en Handle bezeechent d’Regel am liewegen Reegelset an net hir Zeilennummer. Wann d’Plaz falsch ass, erreecht de Paket als éischten den Drop.

D’Vergläichung hei drënner benotzt ee feste Peer an een äusseren Nolauschterer-Austausch. Si ass bewosst schmuel; eng ganz Kette ersetzen ass eng aner Ännerung mat engem anere Risikoprofil.

Zwee Plazen, zwee verschidde Resultater

insert setzt eng Regel virun déi referenzéiert Regel. add setzt se duerno. Wann déi referenzéiert Regel den terminalen Drop fir de Floss ass, ginn déi zwou Kommandos entgéiggesäitzt Resultater, och wann den Text vun der Regel identesch ass.

Eng Plaz ewechloossen huet säin eegene Standardverhalen, wat nach eng Grond ass, fir net eng Kommando aus engem Forum ze kopéieren, ouni ze liesen, un wat se verankert ass. Den Anker ass déi ganz Entscheedung. Schreift déi gewënscht Säit op, ier Dir d’Kommando tippt. insert an add ënnerscheede sech an der Fichier ëm ee Wuert.

D’Plaz ass relativ zu enger Regel an enger bestëmmter Kette. Déi selwecht Ausso an eng aner Kette oder eng aner hook-Prioritéit ze réckelen ännert, wéi eng Paketen se gesäit, och wann d’Syntax vun der Regel richteg ausgesäit.

En Handle identifizéiert eng Regel, net eng Zeilennummer

En Handle wéi 42 ass en Identifiant am aktuellen Zoustand vum Reegelset. Et ass net déi zweeavéierzegst Regel, an et ass net stabil iwwer Hoste, Neiopbauen oder e Manager, deen seng Konfiguratioun nei lued.

Fannt d’Kette an den tatsächlechen terminalen Drop, ier Dir den Anker wielt. Bestätegt duerno den Handle op där Regel an der selwechter Lëscht, déi den Drop weist, sou datt d’Nummer an d’Regel zesumme gelies ginn. En Handle, deen aus enger aler Lëscht gelies gouf, kann schonn zu enger anerer Regel gehéieren. Liest en nach eng Kéier an der Sëtzung, déi d’Ännerung applizéiert.

iptables --version
nft -a list ruleset

D’Versioun vun iptables mëttelt, wéi ee Backend benotzt gëtt. En iptables-nft-Reegelset an eng onofhängeg geréiert nativesch Tabell kënnen niefteneen existéieren, dofir ass eng Lëscht vun engem Frontend net automatesch dat komplett Filterbild. Kontrolléiert béid Usiichten, ier Dir eng Kette wielt.

Fannt d’Kette an d’Regel, déi wierklech dropen

Liest den input-hook, d’Prioritéit vun der Kette an d’Regel, déi dëse Nolauschterer-Floss refuséiert. Eng inet-Tabell kann déi zwou Adressfamilljen droen, awer eng eenzel Regel kann nach ëmmer nëmmen op IPv4 passen.

Huelt ee geneemtegte Peer, andeems Dir 198.51.100.25 aus dem Dokumentatiounsberäich als Beispill benotzt. Eng iwwerpréift nativesch Fichier kéint eng äusserlech Erlabnes virum Handle 42 setzen:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Ersetzt d’Famill, d’Tabell, d’Kette, den Handle, d’Ingangsinterface an de Peer no der Inspektioun. D’Beispill benotzt d’Handle-Plaz-Form, déi fir nft 1.0.9 dokumentéiert ass, an se gehéiert an eng Inputfichier; d’Zitéiere vun de Klamme ass eng separat Fro, wann d’Kommando interaktiv getippt gëtt.

Halt den Eegentemer vun der Konfiguratioun kloer. E Manager, deen seng Regelen nei baut, kann eng Ännerung zur Laufzäit iwwerschreiwen, an en Bootskript, dat en ale Handle haart kodéiert, wäert entweder feelen oder sech un déi falsch Regel hänken.

Erlabnes ass begrenzt, en Drop ass terminal

En Erlabnes-Uerteel beendet d’Evaluatioun op sengem aktuelle Wee, awer eng méi spéit applicabel Basiskette kann de Paket nach ëmmer droppen. En Drop-Uerteel ass terminal. Dofir ass en eropgeenden Erlabnes-Zieler kee Beweis, datt de Floss gelungen ass.

Inspektéiert all relevant hook-Prioritéiten amplaz vun enger Kette isoléiert. E Paket kann en input-Filter passéieren an trotzdem vum Hook vun enger anerer Tabell op enger anerer Prioritéit refuséiert ginn. Lëscht all Basiskette op, déi de Floss ka gesinn.

Déi Regel deckt just den äusseren Nolauschterer-Austausch of. Transport-encapsuléierten ESP, nativeschen ESP, IPv6-Peeren an den entschlësselten Traffic bannent dem Tunnel brauchen all hir eege Politiken. Et ass keng komplett Site-VPN-Firewall.

Kontrolléiert d’Fichier, a verifizéiert duerno dat liewegt Resultat

Fuert eng Syntax- an Transaktiounskontroll op der iwwerpréifter Fichier duerch, ier Dir se applizéiert. De Kontrollmodus mëttelt, ob nft d’Ännerung kann analyséieren an preparéieren; en applizéiert se net an et beweist net, datt en aneren Hook de Paket erlaabt. D’Fichier bleift e Virschlag, bis den Eegentemer se applizéiert:

nft -c -f reviewed-vpn-rule.nft

Applizéiert se iwwer den kontrolléierte Prozess vum Eegentemer a behält den Zougang fir d’Erhuelen. Wann d’Regel falsch ass, kann den Drop, deem Dir wëllt viru goen, och de Wee ofschneiden, deen Dir benotzt, fir se ze korrigéieren.

No der Ännerung observéiert en neien erlaabten Peer-Versuch a kontrolléiert, datt Quellen ausserhalb vum geneemtegte Peer nach ëmmer refuséiert ginn. Réckelt déi dauerhaft Regel an dee Manager, deem de Reegelset gehéiert, well Laufzäit-Handle aktuell Objeten lokaliséieren, amplaz se iwwer Starten eraus z’identifizéieren.