nftables അടയാളങ്ങളും VPN റൂട്ടിംഗും: ഏത് നിയമമാണ് യഥാർത്ഥത്തിൽ വിജയിക്കുന്നത്

nftables-ൽ ഇട്ട അടയാളം ഒരു വിഭാഗം ട്രാഫിക്ക് ടണലിലൂടെ അയക്കേണ്ടതാണ്, പക്ഷേ ട്രാഫിക് ഭൗതിക ഇന്റർഫേസിലൂടെ പുറത്തുപോകുന്നു. നിയമക്കൂട്ടം വേറിട്ടുനോക്കുമ്പോൾ ശരിയാണ്. സാധാരണ സംഭവിക്കുന്നത് മറ്റെന്തോ അതേ അടയാളം എഴുതി, അല്ലെങ്കിൽ റൂട്ടിംഗ് നിയമം പുതിയ മൂല്യം ഇനി പാലിക്കാത്ത ഒരു മാസ്കുമായി ഒത്തുപോകുന്നു എന്നതാണ്.

പരിശോധന 1: കേർണൽ ഒത്തുപോകുന്ന നിയമം വായിക്കുക

ഫയർവാളിൽ നിന്നല്ല, പോളിസി നിയമത്തിൽ നിന്ന് തുടങ്ങുക. കേർണൽ നിയമങ്ങൾ മുൻഗണനാ ക്രമത്തിൽ പരിശോധിക്കുന്നു, ആദ്യത്തെ ഒത്തുപോകൽ ടേബിൾ തീരുമാനിക്കുന്നു. നിയമത്തിൽ നിന്നുതന്നെ fwmark മൂല്യവും മാസ്കും വായിക്കുക, തുടർന്ന് നിങ്ങൾ ഇട്ട അടയാളമുള്ള പാക്കറ്റ് യഥാർത്ഥത്തിൽ അതുമായി ഒത്തുപോകുന്നുവെന്ന് ഉറപ്പാക്കുക. പൂർണ്ണ 32-ബിറ്റ് മൂല്യം പ്രതീക്ഷിക്കുന്ന നിയമം ഒരു ബിറ്റ് മാത്രം വഹിക്കുന്ന പാക്കറ്റുമായി ഒത്തുപോകില്ല.

തുടർന്ന് ആ നിയമം ഏത് ടേബിൾ തിരഞ്ഞെടുക്കുന്നു, ടേബിളിൽ എന്താണുള്ളത് എന്ന് ഉറപ്പാക്കുക. ശൂന്യമായ ടേബിളിലേക്ക് ചൂണ്ടുന്ന നിയമം തിരച്ചിൽ പരാജയമുണ്ടാക്കുന്നു, അതായത് പല സിസ്റ്റങ്ങളിലും പാക്കറ്റ് അടുത്ത നിയമത്തിലേക്ക് വീണ് ഭൗതിക ഇന്റർഫേസിലൂടെ പുറത്തുപോകുന്നു.

രണ്ട് കമാൻഡുകൾ ഇത് തീർക്കുന്നു: നിയമങ്ങളുടെ പട്ടികയും, ആ ടേബിളിൽ ലക്ഷ്യത്തിലേക്കുള്ള റൂട്ട് തിരച്ചിലും.

പരിശോധന 2: പാക്കറ്റ് അടയാളമോ കണക്ഷൻ അടയാളമോ

nftables പാക്കറ്റിൽ ഒരു അടയാളവും കണക്ഷൻ ട്രാക്കിംഗ് എൻട്രിയിൽ ഒരു അടയാളവും ഇടാം, ഇവ വ്യത്യസ്ത ഒബ്ജക്റ്റുകളാണ്. പാക്കറ്റ് അടയാളം പാക്കറ്റിന്റെ പ്രോസസ്സിംഗ് പാസിനിടയിൽ ജീവിക്കുന്നു, കണക്ഷൻ അടയാളം ഫ്ലോയ്ക്കായി നിലനിൽക്കുകയും ഉദ്ദേശ്യപൂർവ്വം പകർത്തേണ്ടതുമാണ്. ഒന്ന് ഇട്ട് മറ്റൊന്ന് പ്രതീക്ഷിക്കുന്നത് സാധാരണ പകുതി-പരിഹാരമാണ്.

റൂട്ടിംഗ് നിയമം പാക്കറ്റ് അടയാളത്തെ ആശ്രയിക്കുന്നുവെങ്കിൽ, പാതയിൽ പിന്നീട് കണക്ഷൻ അടയാളം പുനഃസ്ഥാപിക്കുന്നത് ആ തീരുമാനത്തിന് ഒന്നും ചെയ്യുന്നില്ല, കാരണം തീരുമാനം കഴിഞ്ഞുകഴിഞ്ഞു.

റൂട്ടിംഗ് സിഗ്നൽ ഏത് ഒബ്ജക്റ്റിന് സ്വന്തമാണെന്ന് തീരുമാനിക്കുക, തുടർന്ന് റൂട്ടിംഗ് തീരുമാനം എടുക്കുന്ന സ്ഥലത്ത് അത് ഇടുക.

പരിശോധന 3: ഈ അടയാളം വേറെയാരെഴുതുന്നു

WireGuard-ന്റെ സ്വന്തം ഉപകരണങ്ങൾ അവയുടെ UDP പാക്കറ്റുകൾ അടയാളപ്പെടുത്തുന്നു, എൻക്രിപ്റ്റ് ചെയ്ത ട്രാൻസ്പോർട്ട് അതിന്റേതായ ടണലിലേക്ക് തിരികെ റൂട്ട് ചെയ്യപ്പെടാതിരിക്കാൻ. നിങ്ങളുടെ നിയമക്കൂട്ടം അതേ ഫീൽഡിന് ബന്ധമില്ലാത്ത ഒരു മൂല്യം നൽകിയാൽ, ആ ഒഴിവാക്കൽ ഇല്ലാതാകുന്നു, ടണലിന്റെ പുറം ട്രാഫിക് അതിലേക്കുതന്നെ കയറാൻ ശ്രമിക്കുന്നു. ലക്ഷണം: സ്ഥാപിതമായ ശേഷം ട്രാഫിക് കടത്തിവിടുന്നത് നിർത്തുന്ന ടണൽ.

മറ്റ് ഫയർവാൾ ഉപകരണങ്ങൾ, കണ്ടെയ്നർ നെറ്റ്വർക്കിംഗ്, മറ്റ് ആവശ്യങ്ങൾക്കുള്ള പോളിസി റൂട്ടിംഗ് എന്നിവയും അടയാളങ്ങൾ ഉപയോഗിക്കുന്നു, അതിനാൽ രണ്ട് ഉപവ്യവസ്ഥകൾ മുഴുവൻ ഫീൽഡും എഴുതുന്നത്, ഓരോന്നും വെവ്വേറെ ശരിയാണെങ്കിലും, സംഘർഷമാണ്.

മറ്റൊന്ന് ചേർക്കുന്നതിന് മുമ്പ് എഴുത്തുകാരെ പട്ടികപ്പെടുത്തുക.

പരിശോധന 4: മാസ്ക് എന്ത് നിലനിർത്തുന്നു എന്ന് തീരുമാനിക്കുന്നു

അടയാളം 32-ബിറ്റ് ഫീൽഡാണ്, മാസ്കുകൾ പല ഉടമകൾ അത് പങ്കിടുന്ന വഴിയാണ്. മാസ്കോടുകൂടി മൂല്യം ഇടുന്നത് നിങ്ങളുടേതല്ലാത്ത ബിറ്റുകൾ സംരക്ഷിക്കുന്നു; മുഴുവൻ ഫീൽഡും ഇടുന്നത് മറ്റെല്ലാവരുടെയും ബിറ്റുകൾ നശിപ്പിക്കുന്നു. ഫീൽഡിനെ സ്പർശിക്കുന്ന ഓരോ നിയമത്തിലും മാസ്ക് വായിക്കുക, നിങ്ങൾ എഴുതാത്തവയിലും.

നിയമക്കൂട്ടത്തിന് അരികിൽ ബിറ്റ് വിഭജനം രേഖപ്പെടുത്തുക.

അല്ലെങ്കിൽ അടുത്ത വ്യക്തി ഇതിനകം ഉടമയുള്ള ഒരു മൂല്യം വീണ്ടും ഉപയോഗിക്കും, ഇവിടത്തെ സംഘർഷം വിലാസ പിശകാണെങ്കിലും റൂട്ടിംഗ് പിശകുപോലെ തോന്നും. പാക്കറ്റ് മെറ്റാഡാറ്റയെക്കുറിച്ചുള്ള nftables രേഖ അടയാള പ്രവർത്തനങ്ങൾ തന്നെ വിവരിക്കുന്നു.

പരിശോധന 5: തിരച്ചിലല്ല, യഥാർത്ഥ ഫ്ലോ ഉപയോഗിച്ച് പരിശോധിക്കുക

സാധാരണ റൂട്ട് തിരച്ചിലിന് അടയാളമില്ല, അതിനാൽ യഥാർത്ഥ പാക്കറ്റിൽനിന്ന് വ്യത്യസ്തമായ പാത കാണിക്കാം. നിങ്ങൾക്ക് പ്രധാനമായ ട്രാഫിക് ഉണ്ടാക്കി കൗണ്ടറുകൾ, കണക്ഷൻ ട്രാക്കിംഗ് എൻട്രി, അത് യഥാർത്ഥത്തിൽ പുറത്തുപോകുന്ന ഇന്റർഫേസ് എന്നിവ നിരീക്ഷിക്കുക. ഉൾപ്പെടുത്തിയ വിഭാഗവും ഒഴിവാക്കിയ വിഭാഗവും പരിശോധിക്കുക, കാരണം വളരെ വീതിയുള്ള അടയാളം ഒഴിവാക്കൽ തകർക്കുന്നു, എന്നാൽ വിജയിച്ചതായി തോന്നുന്നു. ഉൾപ്പെടുത്തിയ വിഭാഗം പ്രവർത്തിച്ച് ഒഴിവാക്കിയ വിഭാഗവും ടണലിൽ കയറുന്നുവെങ്കിൽ, അടയാളം വളരെ ഇടുങ്ങിയതല്ല, വളരെ വീതിയുള്ളതാണ്.

ലൈവ് സെഷനിനിടയിൽ റിഫ്രെഷ് നിർബന്ധിക്കാൻ കണക്ഷൻ അവസ്ഥ ഫ്ലഷ് ചെയ്യുന്നത് ഒഴിവാക്കുക, കാരണം പുതിയതും നിലവിലുള്ളതുമായ ഫ്ലോകൾക്ക് നിയമാനുസൃതമായി വ്യത്യസ്ത പാതകൾ സ്വീകരിക്കാം.

അടയാളം, മാസ്ക്, ടേബിൾ എന്നിവ ഒരിടത്ത് രേഖപ്പെടുത്തുക, അപ്പോൾ അടുത്ത മാറ്റം അവലോകനയോഗ്യമാകും.