Hal d'nftables-Politik stabil, während d'VPN-Interface kënnt

Tunnele si Wegwerfartikelen; Politik sollt et net sinn. Op engem Linux-Gateway kann eng nftables-Reeg, déi d'Tunnel-Interface nom Numm entsprécht, eng Kéier geluede ginn an applizéiert weider all Kéier, wann déi Interface erschéngt. D'Interface huet awer nach ëmmer e Liewenszyklus: si gëtt erstallt, si verschwënnt, an d'Routen an d'Iwwersetzungen ronderëm si verfollegen hiren eegenen Zäitplang. Genee dës Besëtzer ze trennen hält den Zougang während enger Reconnectioun stabil.

Eng Numm-Übereestemmung iwwerlieft d'Interface

nftables bitt numeresch Interface-Index-Übereestemmungen an déi dynamesch Numm-Übereestemmungen iifname an oifname. Reegelen, déi dës Nimm benotzen, lueden propper och wann den Tunnel-Apparat nach net erstallt gouf, wat genee dat ass, wat e Reegelsatz beim Start brauch. D'Übereestemmung hält op, wann d'Interface ëmgedeeft gëtt, a fänkt nees un, wann eng nei Interface den Numm iwwerhëlt. Eng numeresch Index huet déi Eegenschaft net, dofir ass d'Nummform déi üblech Wiel fir en Tunnel.

Den Numm ass en Übereestemmungsschlëssel, keen Beweis doriwwer, wien op der anerer Säit ass. D'Authentifikatioun vum Peer bleift d'Aufgab vun der VPN.

Liest d'Kette, ier Dir Reegelen dobäisetzt

Kuckt, wat de Reegelsatz de Moment enthält a wou eng nei Reegel sëtze géif, well d'Reiefolleg entscheet iwwer d'Resultat.

nft list ruleset
nft -c -f /etc/nftables.conf

D'Lëscht weist Ketten, Reegelen an Handles, an de Kontrollmodus validéiert eng Kandidatdatei, ouni se ze lueden. Eng Erlaabnes just fir den Tunnel, déi no enger fréierer Akzeptanz fir de selwechte Floss gesat gëtt, ännert näischt, well déi éischt passend Reegel gewënnt. Dofir kann eng spéit Reegel richteg ausgesinn an keen Effekt hunn. Liest d'Kette an der Rei a bestätegt, datt de Verbuet fir Verkéier vum Client op den Uplink nach ëmmer virun allem méi Breetem kënnt.

Routen, Iwwersetzung a Flëss hunn aner Besëtzer

D'Präsenz vun der Interface schaaft keng Routen an authentifizéiert de Peer net. Dat gehéiert zum VPN-Manager, wärend d'Iwwersetzung en drëtte Liewenszyklus huet.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

D'conntrack-Lëscht weist existent Flëss mat hirem ursprénglechen an iwwersate Wäerter, an d'Routelëscht weist, wat de Manager fir d'Interface installéiert huet. NAT-Reegelen etabléieren den Zoustand vun der Verbindungsverfollegung beim éischte Paket, also behält en etabléierte Floss seng Iwwersetzung och nodeems d'Reegel sech geännert huet. Dofir sinn eng aktualiséiert Reegel an e Floss, deen den neie Wee benotzt, zwee verschidde Behauptungen. Entscheet, wéi eng Sessiounen sech mussen nei verbannen, a loosst onbezunn Flëss a Rou.

Akzeptéiert kale Start, Verloscht a Erhuelung

Test de Gateway mam Tunnel, deen beim Start feelt, dann dobäi ass, dann no engem Ausfall an enger Réckkéier. Bestätegt, datt verbuede Viruleedung verbuede bleift, wärend den Tunnel feelt, datt en neie erlaabte Floss funktionéiert, soubal de Peer authentifizéiert ass, an datt d'Erhuelung net verlaangt, onbezunnen Zoustand ze läschen. Läscht net déi ganz POSTROUTING-Kette oder all conntrack-Antrée als Stoppaktioun vun engem Profil, well aner Servicer se deelen. Notéiert, wéi eng Komponent d'Interface, d'Route an d'Politik geännert huet, anstatt just, datt e Starthook mat Null erausgaang ass.

Eng Politik, déi eng Reconnectioun iwwerlieft, ass eng, deenen hir Besëtzer genannt sinn an deenen hir Reegelen mam Tunnel souwuel erof wéi och erop getest goufen. En Hook, deen Erfolleg mellt, beweise just, datt den Hook gelaf ass.