Името на синџирот не е кука: iptables наспроти nftables

Двата огнени ѕида можат да го филтрираат проследениот VPN сообраќај, а правилата ги прикачуваат на патеката на пакетот на различни начини. iptables има вградени синџири внатре во табела, па FORWARD постои како именувана точка на кука. nftables го одвојува името на синџирот од неговиот тип, кука и приоритет, што значи дека обичен синџир наречен FORWARD не филтрира ништо. Споредбата на двата модели објаснува зошто запис што изгледа исправен во една алатка нема ефект во другата.

Синџирот е сад. Дали јадрото го проверува зависи од имплементацијата и од тоа како множеството правила го прикачува.

Два модели, две различни прикачувања

Во iptables табелата filter доаѓа со три вградени синџири, INPUT, FORWARD и OUTPUT, а -N прави синџир дефиниран од корисникот што дејствува само кога се скока на него од еден од нив. Прирачникот на nftables наместо тоа дефинира основни синџири, кои го објавуваат својот тип, кука и приоритет, и обични синџири, кои тоа не го прават. Основниот синџир може да носи било кое име, а обичниот синџир наречен FORWARD не добива никакви својства од својата ознака. Тоа е целата разлика и таа е невидлива во упатство што прикажува само текст на правило.

Компатибилните заднини додаваат втора причина да не се заклучува однесување од името на командата. Документацијата на iptables забележува операции што се разликуваат под iptables-nft, па третирајте ги нативниот nftables, iptables-nft и наследното множество правила како три системи, а не како три правописи на еден.

Прочитајте ја грешката во нејзиниот вистински контекст

Недостапна табела, неуспех на дозвола, недостапна функција на јадрото и недостапен именуван синџир се четири различни наоди, а само еден е за синџирот. Забележете ја верзијата на алатката, побараното семејство адреси и табела, мрежниот именски простор и првата точна грешка. Потоа проверете која компонента го поседува множеството правила: служба за огнен ѕид или портал управуван од производ може да создаде свои синџири и редослед. Додавањето нативен синџир покрај нив ја остава управуваната политика недопрена, а пописот понејасен.

Именскиот простор на контејнер може да содржи различно множество правила од домаќинот, па команда извршена во погрешен контекст не може да покаже кој синџир го видел проследениот пакет. Подигање на привилегии затоа што очекуван синџир не бил видлив не е дијагноза.

Бројачите докажуваат достигнување, не пресуда

Бројачите на правила ви кажуваат дека правило е достигнато. Тие не ви кажуваат дека подоцнежно правило ја дозволило операцијата и не докажуваат дека секоја алтернативна патека е одбиена. Читајте ги за време на еден безопасен овластен тек, заедно со редоследот на правилата и прикачувањето на синџирот, и третирајте ги како едно набљудување, а не пресуда. Бројач различен од нула на правило за отфрлање значи дека сообраќајот го погодил; тој не кажува ништо за сообраќајот што не го погодил.

IP проследувањето на јадрото е сосема одделно поставување. Постоењето синџир не го вклучува проследувањето, а отсуството на позната ознака не значи дека проследувањето запрело.

Опишете го текот што сакате да го заштитите

Запишете едно барање на клиент по декапсулацијата: неговиот извор, одредиште, семејството адреси и дали завршува кај порталот или поминува низ него. Влезот на локалната служба и проследениот сообраќај се набљудуваат на различни точки, па им требаат различни правила и различни тестови. За мостен VPN проверете ја и патеката на мостот, бидејќи синџирот на IP ниво не ги надгледува автоматски Ethernet рамките.

Зачувајте независен пристап за восстановување пред да го промените далечинскиот портал. Потоа потврдете го предвидениот тек и потребните одбивања под истото множество правила. Нов празен синџир со познато име не е поправка.

Споредбата завршува со едно прашање: која кука јадрото навистина ја повикува за овој пакет? Одговорете го тоа и името на синџирот престанува да биде важно.