Гинжин нэр нь дэгээ биш: iptables ба nftables

Хоёр галт хана хоёулаа дамжуулагдсан VPN урсгалыг шүүх чадвартай бөгөөд тэд дүрмүүдийг пакетын замд өөр өөр аргаар холбодог. iptables-д хүснэгтийн дотор суулгагдсан гинж байдаг тул FORWARD нэртэй дэгээний цэг болж оршдог. nftables гинжин нэрийг түүний төрөл, дэгээ, тэргүүлэх чиглэлээс тусгаарладаг бөгөөд энэ нь FORWARD нэртэй энгийн гинж юу ч шүүхгүй гэсэн үг. Хоёр загварыг харьцуулбал нэг хэрэгсэлд зөв харагдах бичлэг нөгөөд нь яагаад нөлөөгүй байдгийг тайлбарлана.

Гинж бол сав. Цөм үүнийг шалгах эсэх нь хэрэгжүүлэлт болон дүрмийн багц түүнийг хэрхэн холбохоос хамаарна.

Хоёр загвар, хоёр өөр холболт

iptables-д filter хүснэгт гурван суулгагдсан гинжтэй ирдэг: INPUT, FORWARD, OUTPUT, мөн -N хэрэглэгчийн тодорхойлсон гинж үүсгэдэг бөгөөд энэ нь тэдгээрийн аль нэгээс үсрэх үед л хүчин төгөлдөр болно. nftables гарын авлага харин өөрийн төрөл, дэгээ, тэргүүлэх чиглэлээ зарладаг үндсэн гинж, тэдгээрийг хийдэггүй энгийн гинжийг тодорхойлдог. Үндсэн гинж ямар ч нэртэй байж болох бөгөөд FORWARD нэртэй энгийн гинж шошгоноосоо ямар ч шинж чанар авахгүй. Энэ бол бүх ялгаа бөгөөд зөвхөн дүрмийн текстийг харуулдаг зааварт энэ нь харагдахгүй.

Тохирох арын хэсгүүд зан төлөвийг командын нэрээс дүгнэхгүй байх хоёр дахь шалтгааныг нэмдэг. iptables-ийн баримт бичиг iptables-nft-ийн дор ялгаатай үйлдлүүдийг тэмдэглэдэг тул уугуул nftables, iptables-nft болон өвлөгдсөн дүрмийн багцыг нэг зүйлийн гурван бичиглэл биш, гурван систем гэж үзээрэй.

Алдааг бодит нөхцөлд нь уншаарай

Дутуу хүснэгт, зөвшөөрлийн алдаа, боломжгүй цөмийн боломж, дутуу нэртэй гинж нь дөрвөн өөр дүгнэлт бөгөөд зөвхөн нэг нь гинжийн тухай юм. Хэрэгслийн хувилбар, хүссэн хаягийн гэр бүл ба хүснэгт, сүлжээний нэрийн орон зай, эхний нарийн алдааг тэмдэглээрэй. Дараа нь дүрмийн багцыг аль бүрэлдэхүүн эзэмшиж байгааг шалгаарай: галт ханын үйлчилгээ эсвэл бүтээгдэхүүнээр удирдуулсан гарц өөрийн гинж, дарааллыг үүсгэж болно. Тэдний хажууд уугуул гинж нэмэх нь удирдуулсан бодлогыг хөндөхгүй үлдээж, бүртгэлийг улам будлиантуулна.

Контейнерын нэрийн орон зай хостоос өөр дүрмийн багц агуулж болох тул буруу нөхцөлд ажиллуулсан команд нь дамжуулагдсан пакетыг аль гинж харсныг харуулж чадахгүй. Хүлээгдэж байсан гинж харагдаагүй гэж эрх нэмэх нь онош биш.

Тоолуурууд хүрснийг баталдаг, шийдлийг биш

Дүрмийн тоолуурууд дүрэмд хүрснийг хэлдэг. Дараагийн дүрэм үйлдлийг зөвшөөрснийг тэд хэлдэггүй бөгөөд бүх өөр замыг татгалзсаныг баталдаггүй. Нэг хор хөнөөлгүй зөвшөөрөгдсөн урсгалын үед дүрмийн дараалал, гинжийн холболттой хамт уншиж, шийдэл биш нэг ажиглалт гэж үзээрэй. drop дүрэм дээрх тэгээс ялгаатай тоолуур нь урсгал түүнд хүрсэн гэсэн үг; хүрээгүй урсгалын тухай юу ч хэлдэггүй.

Цөмийн IP дамжуулалт нь огт өөр тохиргоо юм. Гинж байгаа нь дамжуулалтыг идэвхжүүлэхгүй, танил шошго байхгүй нь дамжуулалт зогссон гэсэн үг биш.

Хамгаалахыг хүсч буй урсгалаа тодорхойл

Дэкапсуляцийн дараах нэг клиентийн хүсэлтийг бичээрэй: түүний эх үүсвэр, очих газар, хаягийн гэр бүл, мөн гарц дээр төгсдөг эсвэл түүгээр дамждаг эсэх. Орон нутгийн үйлчилгээний оролт болон дамжуулагдсан урсгал өөр өөр цэгт ажиглагддаг тул тэдэнд өөр дүрэм, өөр туршилт хэрэгтэй. Гүүрэн VPN-ийн хувьд гүүрийн замыг ч шалгаарай, учир нь IP түвшний гинж Ethernet хүрээг автоматаар хянадаггүй.

Алсын гарцыг өөрчлөхөөс өмнө бие даасан сэргээх хандалтыг хадгалаарай. Дараа нь ижил дүрмийн багцын дор төлөвлөсөн урсгал болон шаардлагатай татгалзлыг баталгаажуулаарай. Танил нэртэй шинэ хоосон гинж нь засвар биш.

Харьцуулалт нэг асуултаар төгсдөг: энэ пакетын хувьд цөм үнэхээр аль дэгээг дууддаг вэ? Түүнд хариул, тэгвэл гинжин нэр хамаагүй болно.