nftables-Marken a VPN-Routing: wéi eng Regel gewënnt wierklech

Eng Mark, déi an nftables gesat gëtt, soll eng Klass vum Verkéier duerch den Tunnel schécken, an de Verkéier geet weider iwwer déi physesch Schnëttstell eraus. D’Reeleset gesäit isoléiert richteg aus. Wat meeschtens geschitt ass, ass datt eppes anescht déi selwecht Mark geschriwwen huet, oder datt d’Routingregel op eng Mask passt, déi den neie Wäert net méi erfëllt.

Kontroll 1: liest d’Regel, op déi de Kernel passt

Fänkt mat der Politikregel un an net mat der Firewall. De Kernel kuckt d’Regele mat Prioritéit un, an déi éischt Passung entscheet iwwer d’Tabell. Liest de fwmark-Wäert an d’Mask aus der Regel selwer, a bestätegt dann, datt e Pak mat der Mark, déi Dir gesat hutt, wierklech drop passt. Eng Regel, déi e vollstännegen 32-Bit-Wäert erwaart, passt net op e Pak, deen nëmmen een eenzegt Bit dréit.

Bestätegt dann, wéi eng Tabell dës Regel auswielt a wat an der Tabell steet. Eng Regel, déi op eng eidel Tabell weist, produzéiert e gescheiterten Nowäis, wat op ville Systemer heescht, datt de Pak op déi nächst Regel fält an iwwer déi physesch Schnëttstell erausgeet.

Zwee Befehler entscheeden dat: d’Regellëscht an de Route-Nowäis fir den Zil an där Tabell.

Kontroll 2: Pakmark oder Verbindungsmark

nftables kann eng Mark op de Pak setzen an eng Mark um Verfollegungsandrag vun de Verbindungen, an dat sinn ënnerschiddlech Objeten. D’Pakmark lieft fir de Veraarbechtungsdurchgang vum Pak, wärend d’Verbindungsmark fir de Floss bleift a bewosst kopéiert muss ginn. Eng setzen an déi aner erwaarden ass eng üblech hallef Léisung.

Wann d’Routingregel op der Pakmark berout, da mécht d’Restauratioun vun der Verbindungsmark méi spéit am Wee näischt fir déi Entscheedung, well d’Entscheedung schon gefall ass.

Entscheet, wéi en Objet den Routingssignal besëtzt, a setzt en dann op där Plaz, wou d’Routingentscheedung gefaasst gëtt.

Kontroll 3: wien nach schreift déi Mark

D’Werkzich vum WireGuard markéieren hir UDP-Pakk, sou datt den verschlësselten Transport net zréck an den Tunnel gerout gëtt, zu deem en gehéiert. Wann Äert Reeleset dem selwechte Feld en onverbonnene Wäert gëtt, verschwënnt déi Ausnam, an de baussenzege Verkéier vum Tunnel versicht, a sech selwer eranzekommen. D’Symptom ass en Tunnel, dee sech opbaut an dann ophält, Verkéier duerchzeloossen.

Marken ginn och vun aneren Firewall-Werkzich, vum Container-Netzwierk a vum Politik-Routing fir aner Zwecker benotzt, dofir ass et e Konflikt, wann zwee Ënnersystemer d’ganzt Feld schreiwen, och wann all eenzelt fir sech richteg ass.

Lëscht d’Schreiwer op, ier Dir nach een derbäi setzt.

Kontroll 4: d’Mask entscheet, wat Dir behält

Eng Mark ass en 32-Bit-Feld, a Masken sinn de Wee, wéi verschidden Besëtzer et deelen. En Wäert mat enger Mask setzen erhält d’Biten, déi Dir net besëtzt; dat ganzt Feld setzen zerstéiert déi vun allen aneren. Liest d’Mask an all Regel, déi d’Feld beréiert, och an deenen, déi Dir net geschriwwen hutt.

Dokumentéiert d’Bitandeelung niewent dem Reeleset.

Soss benotzt déi nächst Persoun e Wäert erëm, dee schonn en Eegentemer huet, an e Konflikt hei gesäit aus wéi e Routingfehler, obwuel et en Adresséierungsfehler ass. D’nftables-Dokumentatioun iwwer Pakmetadaten beschreift d’Markoperatiounen selwer.

Kontroll 5: iwwerpréift mat engem echte Floss, net mat engem Nowäis

En einfachen Route-Nowäis dréit keng Mark, sou datt en en anere Wee weise kann wéi de richtege Pak. Generéiert de Verkéier, deen Iech wichteg ass, a beobachtet d’Zähler, de Verfollegungsandrag vun de Verbindungen an d’Schnëttstell, iwwer déi en tatsächlech erausgeet. Test souwuel déi abegraff Klass wéi och déi ausgeschloss Klass, well eng ze breet Mark d’Ausnam brécht, während se erfollegräich ausgesäit. Wann déi abegraff Klass funktionéiert an déi ausgeschloss Klass och an den Tunnel geet, ass d’Mark ze breet an net ze schmuel.

Vermeit et, de Verbindungszoustand ze läschen, fir eng Erfrëschung während enger lieweger Sitzung ze forcéieren, well nei an existéierend Flëss legitimerweis verschidden Weeër kënnen huelen.

Halt d’Mark, d’Mask an d’Tabell op enger Plaz fest, an déi nächst Ännerung gëtt iwwerpréifbar.