nftables: VPN зөвшөөрлийн дүрмийг drop бариулын өмнө оруулна уу

Зөвшөөрлийн дүрмийг буруу байрлалд тавьбал дүрэм огт байхгүй мэт ажиллана. nftables-д insert болон add-ийн хоорондох сонголт нь шинэ мэдэгдэл дурдсан дүрмийн аль талд буухыг тодорхойлдог бөгөөд бариул нь дүрмийг амьд дүрмийн багцад нэрлэдэг, мөрийн дугаарыг нь биш. Байрлал буруу бол пакет эхлээд drop-д хүрнэ.

Доорх харьцуулалт нэг тогтмол түнш болон нэг гадаад сонсогчийн солилцоог ашигладаг. Энэ нь зориуд нарийн; бүхэл гинжийг солих нь өөр эрсдэлийн профайлтай өөр өөрчлөлт юм.

Хоёр байрлал, хоёр өөр үр дүн

insert дүрмийг дурдсан дүрмийн өмнө байрлуулна. add түүнийг дараа нь байрлуулна. Хэрэв дурдсан дүрэм нь урсгалын эцсийн drop бол дүрмийн текст ижил байсан ч эдгээр хоёр команд эсрэг үр дүн өгнө.

Байрлалыг орхих нь өөрийн гэсэн анхдагч зан төлөвтэй бөгөөд энэ нь форумаас командыг юунд бэхлэгдсэнийг нь уншилгүй хуулахгүй байх өөр нэг шалтгаан юм. Бэхэлгээ нь бүх шийдвэр юм. Командыг бичихээс өмнө зориулсан талыг бичиж аваарай. Файлд insert болон add нэг үгээр ялгаатай.

Байрлал нь тодорхой гинжин дэх дүрэмтэй харьцуулагдана. Ижил мэдэгдлийг өөр гинж эсвэл өөр hook давуу эрх рүү зөөх нь дүрмийн синтакс зөв харагдаж байсан ч аль пакетыг хардагийг өөрчилнө.

Бариул нь дүрмийг танина, мөрийн дугаарыг биш

42 гэх мэт бариул нь одоогийн дүрмийн багцын төлөв дэх танигч юм. Энэ нь дөч хоёр дахь дүрэм биш бөгөөд хост, дахин бүтээх эсвэл тохиргоогоо дахин ачаалдаг менежерийн хооронд тогтвортой биш.

Бэхэлгээг сонгохын өмнө гинж болон бодит эцсийн drop-ыг ол. Дараа нь drop-ыг харуулж буй ижил жагсаалтад тухайн дүрмийн бариулыг баталгаажуулж, дугаар болон дүрэм хамт уншигдана. Хуучин жагсаалтаас уншсан бариул аль хэдийн өөр дүрмийн байж болно. Өөрчлөлтийг хэрэглэх сесс дээр дахин уншаарай.

iptables --version
nft -a list ruleset

iptables-ийн хувилбар аль backend ашиглагдаж байгааг мэдээлнэ. iptables-nft дүрмийн багц болон бие даан удирдуулсан уугуул хүснэгт хамт оршиж болох тул нэг frontend-ийн жагсаалт автоматаар бүрэн шүүлтийн зураг биш. Гинж сонгохын өмнө хоёр харагдацыг шалгана уу.

Бодитоор drop хийдэг гинж болон дүрмийг ол

input hook, гинжийн давуу эрх, энэ сонсогчийн урсгалыг үгүйсгэдэг дүрмийг уншаарай. inet хүснэгт хоёр хаягийн бүлгийг хоёуланг нь авч болох ч ганц дүрэм зөвхөн IPv4-тэй таарч болно.

Нэг зөвшөөрөгдсөн түншийг авч, жишээ болгон баримт бичгийн мужаас 198.51.100.25-ыг ашиглана уу. Хянасан уугуул файл 42 бариулын өмнө гадаад зөвшөөрөл байрлуулж болно:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Шалгалтын дараа гэр бүл, хүснэгт, гинж, бариул, оролтын интерфейс болон түншийг соль. Жишээ нь nft 1.0.9-д баримтжуулсан бариул-байрлалын хэлбэрийг ашигладаг бөгөөд энэ нь оролтын файлд хамаарна; команд интерактив байдлаар бичигдэх үед буржгар хаалтны ишлэл нь тусдаа асуудал юм.

Тохиргооны эзэмшигчийг тодорхой байлга. Дүрмээ дахин бүтээдэг менежер ажиллах үеийн засварыг дарж бичиж болох бөгөөд хуучирсан бариулыг хатуу кодлосон ачаалах скрипт нь эсвэл бүтэлгүйтэх, эсвэл буруу дүрэмд наалдана.

Зөвшөөрөл нь хязгаарлагдмал, drop нь эцсийн

Зөвшөөрлийн шийдвэр өөрийн одоогийн замд үнэлгээг дуусгадаг ч дараа нь хэрэгжих үндсэн гинж пакетыг drop хийсээр байж болно. Drop-ийн шийдвэр эцсийн. Тиймээс өсөж буй зөвшөөрлийн тоолуур нь урсгал амжилттай болсны баталгаа биш.

Нэг гинжийг тусгаарлан шалгахын оронд бүх холбогдох hook давуу эрхийг шалгана уу. Пакет input шүүлтүүрээр гарч, өөр давуу эрх дэх өөр хүснэгтийн hook-оос татгалзаж болно. Урсгалыг харж чадах үндсэн гинж бүрийг жагсаана уу.

Тухайн дүрэм зөвхөн гадаад сонсогчийн солилцоог хамарна. Тээврийн инкапсуляцтай ESP, уугуул ESP, IPv6 түншүүд болон туннелийн доторх тайлагдсан урсгал бүгд өөрийн бодлого шаарддаг. Энэ нь сайтын VPN-ийн бүрэн галт хана биш.

Файлыг шалгаад, дараа нь амьд үр дүнг баталгаажуулна уу

Хэрэглэхээс өмнө хянасан файл дээр синтакс болон гүйлгээний шалгалт ажиллуулна уу. Шалгалтын горим nft өөрчлөлтийг задлан бэлтгэж чадах эсэхийг мэдээлдэг; энэ нь өөрчлөлтийг хэрэглэхгүй бөгөөд өөр hook пакетыг зөвшөөрнө гэдгийг нотлохгүй. Файл эзэмшигч хэрэглэх хүртэл санал хэвээр байна:

nft -c -f reviewed-vpn-rule.nft

Эзэмшигчийн хяналттай процессоор хэрэглэж, сэргээх хандалтыг хадгална уу. Хэрэв дүрэм буруу бол таны урьдчих гэж оролдсон drop нь засах зам мөн тасарч болно.

Өөрчлөлтийн дараа зөвшөөрөгдсөн түншийн шинэ оролдлогыг ажиглаж, зөвшөөрөгдсөн түншээс гадуурх эх үүсвэрүүд хараахан татгалзагдаж байгааг шалгана уу. Байнгын дүрмийг дүрмийн багцыг эзэмшдэг менежер рүү зөөнө үү, учир нь ажиллах үеийн бариулууд одоогийн объектуудыг олдог, тэдгээрийг ачаалал хооронд танихгүй.