VPN ഇന്റർഫേസ് വരുമ്പോൾ nftables നയം സ്ഥിരമായി നിലനിർത്തുക

ടണലുകൾ ഉപയോഗശൂന്യമാണ്; നയം അങ്ങനെയാകരുത്. Linux ഗേറ്റ്വേയിൽ ടണൽ ഇന്റർഫേസിനെ പേരുകൊണ്ട് പൊരുത്തപ്പെടുത്തുന്ന nftables നിയമം ഒരിക്കൽ ലോഡ് ചെയ്യാം, ആ ഇന്റർഫേസ് വരുമ്പോഴെല്ലാം അത് ബാധകമായി തുടരും. ഇന്റർഫേസിന് ഇപ്പോഴും ഒരു ജീവിതചക്രമുണ്ട്: അത് സൃഷ്ടിക്കപ്പെടുന്നു, പോകുന്നു, അതിന് ചുറ്റുമുള്ള റൂട്ടുകളും വിവർത്തനങ്ങളും സ്വന്തം ഷെഡ്യൂൾ പിന്തുടരുന്നു. ഈ ഉടമകളെ വേർതിരിക്കുന്നതാണ് പുനർബന്ധന സമയത്ത് പ്രവേശനം സ്ഥിരമായി നിലനിർത്തുന്നത്.

പേര് പൊരുത്തം ഇന്റർഫേസിനെക്കാൾ കൂടുതൽ കാലം നിലനിൽക്കുന്നു

nftables സംഖ്യാത്മക ഇന്റർഫേസ്-ഇൻഡക്സ് പൊരുത്തങ്ങളും ചലനാത്മക പേര്-പൊരുത്തങ്ങളും iifname, oifname നൽകുന്നു. ഈ പേരുകൾ ഉപയോഗിക്കുന്ന നിയമങ്ങൾ ടണൽ ഉപകരണം ഇതുവരെ സൃഷ്ടിച്ചിട്ടില്ലെങ്കിലും വൃത്തിയായി ലോഡ് ചെയ്യും, ഇത് ബൂട്ട് സമയത്ത് നിയമസഞ്ചയത്തിന് കൃത്യമായി വേണ്ടതാണ്. ഇന്റർഫേസ് പുനർനാമകരണം ചെയ്താൽ പൊരുത്തം നിലയ്ക്കുന്നു, പുതിയ ഇന്റർഫേസ് ആ പേര് ഏറ്റെടുത്താൽ വീണ്ടും തുടങ്ങുന്നു. സംഖ്യാത്മക ഇൻഡക്സിന് ആ ഗുണമില്ല, അതിനാൽ ടണലിന് പേരിന്റെ രൂപമാണ് സാധാരണ തിരഞ്ഞെടുപ്പ്.

പേര് പൊരുത്തത്തിന്റെ താക്കോലാണ്, മറുവശത്ത് ആരുണ്ടെന്നതിന്റെ തെളിവല്ല. പങ്കാളിയുടെ പ്രാമാണീകരണം VPN ന്റെ ജോലിയായി തുടരുന്നു.

നിയമങ്ങൾ ചേർക്കുന്നതിന് മുമ്പ് ചങ്ങല വായിക്കുക

നിയമസഞ്ചയത്തിൽ ഇപ്പോൾ എന്താണുള്ളതെന്നും പുതിയ നിയമം എവിടെ ഇരിക്കുമെന്നും നോക്കുക, കാരണം ക്രമമാണ് ഫലം തീരുമാനിക്കുന്നത്.

nft list ruleset
nft -c -f /etc/nftables.conf

പട്ടിക ചങ്ങലകളും നിയമങ്ങളും ഹാൻഡിലുകളും കാണിക്കുന്നു, പരിശോധനാ മോഡ് സ്ഥാനാർഥി ഫയൽ ലോഡ് ചെയ്യാതെ സാധൂകരിക്കുന്നു. അതേ പ്രവാഹത്തിന് മുമ്പത്തെ അംഗീകാരത്തിന് ശേഷം വയ്ക്കുന്ന ടണൽ-മാത്ര അനുമതി ഒന്നും മാറ്റുന്നില്ല, കാരണം ആദ്യം പൊരുത്തപ്പെടുന്ന നിയമമാണ് വിജയിക്കുന്നത്. അതിനാൽ വൈകി വരുന്ന നിയമം ശരിയായി തോന്നാം, പക്ഷേ ഒരു ഫലവുമില്ലാതിരിക്കാം. ചങ്ങല ക്രമത്തിൽ വായിച്ച് ക്ലയന്റിൽ നിന്ന് മുകളിലേക്കുള്ള കണ്ണിയിലേക്കുള്ള ട്രാഫിക് നിരോധനം ഇപ്പോഴും ഏതെങ്കിലും വിശാലമായതിന് മുമ്പാണെന്ന് ഉറപ്പാക്കുക.

റൂട്ടുകൾക്കും വിവർത്തനത്തിനും പ്രവാഹങ്ങൾക്കും മറ്റ് ഉടമകളുണ്ട്

ഇന്റർഫേസിന്റെ സാന്നിധ്യം റൂട്ടുകൾ സൃഷ്ടിക്കുന്നില്ല, പങ്കാളിയെ പ്രാമാണീകരിക്കുന്നുമില്ല. അവ VPN മാനേജർക്കുള്ളതാണ്, വിവർത്തനത്തിന് മൂന്നാമത്തെ ജീവിതചക്രമുണ്ട്.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack പട്ടിക നിലവിലുള്ള പ്രവാഹങ്ങളെ അവയുടെ യഥാർത്ഥ ഒപ്പം വിവർത്തനം ചെയ്ത മൂല്യങ്ങളോടെ കാണിക്കുന്നു, റൂട്ട് പട്ടിക മാനേജർ ഇന്റർഫേസിനായി എന്ത് ഇൻസ്റ്റാൾ ചെയ്തുവെന്ന് കാണിക്കുന്നു. NAT നിയമങ്ങൾ ആദ്യ പാക്കറ്റിൽ തന്നെ കണക്ഷൻ-ട്രാക്കിംഗ് അവസ്ഥ സ്ഥാപിക്കുന്നു, അതിനാൽ സ്ഥാപിതമായ പ്രവാഹം നിയമം മാറിയതിന് ശേഷവും തന്റെ വിവർത്തനം നിലനിർത്തുന്നു. അതിനാൽ നിയമം അപ്ഡേറ്റ് ചെയ്യുന്നതും പുതിയ പാത ഉപയോഗിക്കുന്ന പ്രവാഹവും രണ്ട് വ്യത്യസ്ത പ്രസ്താവനകളാണ്. ഏത് സെഷനുകൾ വീണ്ടും കണക്റ്റ് ചെയ്യണമെന്ന് തീരുമാനിക്കുക, ബന്ധമില്ലാത്ത പ്രവാഹങ്ങളെ വിടുക.

തണുത്ത തുടക്കം, നഷ്ടം, വീണ്ടെടുക്കൽ സ്വീകരിക്കുക

ബൂട്ട് സമയത്ത് ടണൽ ഇല്ലാതെ, പിന്നെ അതുള്ളപ്പോൾ, പിന്നെ കുത്തിവയ്പ്പും തിരിച്ചുവരവും കഴിഞ്ഞ് ഗേറ്റ്വേ പരീക്ഷിക്കുക. ടണൽ ഇല്ലാത്തപ്പോൾ നിരോധിത ഫോർവേഡിംഗ് നിരോധിതമായി തുടരുന്നു, പങ്കാളി പ്രാമാണീകരിച്ചതിന് ശേഷം പുതിയ അനുവദനീയ പ്രവാഹം പ്രവർത്തിക്കുന്നു, വീണ്ടെടുക്കലിന് ബന്ധമില്ലാത്ത അവസ്ഥ ഒഴിവാക്കേണ്ടതില്ല എന്ന് ഉറപ്പാക്കുക. ഒരു പ്രൊഫൈലിന്റെ നിർത്തൽ പ്രവർത്തനമായി മുഴുവൻ POSTROUTING ചങ്ങലയോ ഓരോ conntrack എൻട്രിയോ മായ്ക്കരുത്, കാരണം മറ്റ് സേവനങ്ങൾ അവ പങ്കിടുന്നു. സ്റ്റാർട്ട് ഹുക്ക് പൂജ്യത്തോടെ പുറത്തുവന്നു എന്നത് മാത്രമല്ല, ഏത് ഘടകം ഇന്റർഫേസും റൂട്ടും നയവും മാറ്റി എന്നും രേഖപ്പെടുത്തുക.

പുനർബന്ധനത്തെ അതിജീവിക്കുന്ന നയം എന്നാൽ ഉടമകൾ പേരിട്ടിരിക്കുന്നതും ടണൽ താഴെയും മുകളിലും ഉള്ളപ്പോൾ നിയമങ്ങൾ പരീക്ഷിച്ചതുമായ നയമാണ്. വിജയം റിപ്പോർട്ട് ചെയ്യുന്ന ഹുക്ക് ഹുക്ക് ഓടി എന്ന് മാത്രം തെളിയിക്കുന്നു.