nftables: вметнете го правилото за дозвола на VPN пред рачката за отфрлање

Поставете правило за дозвола на погрешно место и тоа се однесува како да нема правило за дозвола. Во nftables изборот меѓу insert и add одредува на која страна од наведеното правило ќе слета новиот исказ, а рачката го именува правилото во живото множество правила, а не неговиот број на ред. Ако поставеноста е погрешна, пакетот прво стигнува до отфрлањето.

Споредбата подолу користи еден фиксен партнер и една размена на надворешен слушател. Таа е намерно тесна; замената на цел ланец е друга промена со друг профил на ризик.

Две поставености, два различни исходи

insert поставува правило пред наведеното правило. add го поставува по него. Ако наведеното правило е завршното отфрлање за текот, овие две команди даваат спротивни резултати, дури и кога текстот на правилото е идентичен.

Изоставувањето на место има свое стандардно однесување, што е уште една причина да не копирате команда од форум без да прочитате на што е закотвена. Котвата е целата одлука. Запишете ја предвидената страна пред да ја напишете командата. insert и add се разликуваат за еден збор во датотеката.

Поставеноста е релативна во однос на правило во конкретен ланец. Преместувањето на истиот исказ во друг ланец или друг приоритет на hook менува кои пакети ги гледа, дури и кога синтаксата на правилото изгледа исправна.

Рачката идентификува правило, а не број на ред

Рачка како 42 е идентификатор во тековната состојба на множеството правила. Таа не е четириесет и второто правило и не е стабилна меѓу домаќини, преизградби или менаџер што ја превчитува својата конфигурација.

Пронајдете го ланецот и вистинското завршно отфрлање пред да ја изберете котвата. Потоа потврдете ја рачката на тоа правило во истиот список што го прикажува отфрлањето, за да се читаат бројот и правилото заедно. Рачка прочитана од стар список може веќе да припаѓа на друго правило. Прочитајте ја повторно во сесијата што ќе ја примени промената.

iptables --version
nft -a list ruleset

Верзијата на iptables известува кој backend се користи. Множество правила на iptables-nft и независно управувана вродена табела можат да постојат заедно, така што список од еден frontend не е автоматски целосната слика за филтрирањето. Проверете ги двата прегледа пред да изберете ланец.

Пронајдете го ланецот и правилото што навистина отфрла

Прочитајте го input hook, приоритетот на ланецот и правилото што го одбива овој тек на слушателот. Табела inet може да ги носи двете фамилии адреси, но поединечно правило сепак може да одговара само на IPv4.

Земете еден одобрен партнер, користејќи го 198.51.100.25 од документацискиот опсег како пример. Прегледана вродена датотека би можела да постави надворешна дозвола пред рачката 42:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Заменете ја фамилијата, табелата, ланецот, рачката, влезниот интерфејс и партнерот по прегледот. Примерот го користи обликот на поставеност по рачка документиран за nft 1.0.9 и припаѓа во влезна датотека; цитирањето на кадравки е одделно прашање кога командата се пишува интерактивно.

Држете го сопственикот на конфигурацијата јасен. Менаџер што ги преизградува своите правила може да презапише промена во текот, а скрипта за подигање што зацврстува застарена рачка или ќе не успее, или ќе се закачи на погрешното правило.

Дозволата е ограничена, отфрлањето е завршно

Пресудата за дозвола ја завршува евалуацијата на нејзиниот тековен пат, но подоцна применлива основна ланец може сепак да го отфрли пакетот. Пресудата за отфрлање е завршна. Затоа растечкиот бројач на дозволи не е доказ дека текот успеал.

Прегледајте ги сите релевантни приоритети на hook наместо еден ланец изолирано. Пакетот може да помине низ input филтер и сепак да биде одбиен од hook на друга табела со друг приоритет. Наведете го секој основен ланец што може да го види текот.

Тоа правило опфаќа само размената на надворешниот слушател. ESP инкапсулирано во транспорт, вродено ESP, партнери IPv6 и дешифрираниот сообраќај внатре во тунелот сите бараат свои политики. Ова не е целосен firewall за VPN на локација.

Проверете ја датотеката, потоа потврдете го живиот резултат

Извршете проверка на синтакса и трансакција на прегледаната датотека пред да ја примените. Режимот за проверка известува дали nft може да ја анализира и подготви промената; тој не ја применува и не докажува дека друг hook ќе го дозволи пакетот. Датотеката останува предлог додека сопственикот не ја примени:

nft -c -f reviewed-vpn-rule.nft

Применете преку контролираниот процес на сопственикот и задржете пристап за обновување. Ако правилото е погрешно, отфрлањето што се обидувавте да го претекнете може да го пресече и патот што го користите за да го поправите.

По промената, набљудувајте нов обид на дозволен партнер и проверете дека изворите надвор од одобрениот партнер се уште се одбиваат. Преместете го трајното правило во менаџерот што го поседува множеството правила, бидејќи рачките во текот ги лоцираат тековните објекти, а не ги идентификуваат меѓу подигања.