nftables-ийн тэмдэг ба VPN чиглүүлэлт: аль дүрэм үнэхээр ялдаг вэ
Галт ханы дотор тавьсан тэмдэг чиглүүлэлтийн дүрэмд нийцэхгүй байж болно. Дөрөв дэхийг нэмэхийн өмнө дүрмийн маск, объектын төрөл болон бусад бичигчдийг шалгана уу.
nftables-д тавьсан тэмдэг нэг ангиллын урсгалыг туннелаар явуулах ёстой боловч урсгал физик интерфейсээр гарсаар байна. Дүрмийн багц тусдаа харахад зөв харагдана. Ихэвчлэн болсон зүйл нь өөр нэг зүйл ижил тэмдгийг бичсэн, эсвэл чиглүүлэлтийн дүрэм шинэ утга хангахаа больсон масктай таарч байгаа юм.
Шалгалт 1: цөм таарч буй дүрмийг уншина уу
Галт ханаас биш, бодлогын дүрмээс эхэл. Цөм дүрмүүдийг эрэмбийн дарааллаар харж, эхний тохирол хүснэгтийг тодорхойлно. fwmark утга ба маскийг дүрмээс нь уншаад, тавьсан тэмдэгтэй пакет үнэхээр түүнд тохирч байгаа эсэхийг батал. Бүрэн 32 битийн утгыг хүлээж буй дүрэм зөвхөн нэг бит агуулсан пакеттай тохирохгүй.
Дараа нь тэр дүрэм аль хүснэгтийг сонгож байгаа, хүснэгтэд юу байгааг батал. Хоосон хүснэгт рүү заасан дүрэм хайлтын алдаа үүсгэдэг бөгөөд энэ нь олон системд пакет дараагийн дүрэм рүү унаж, физик интерфейсээр гарна гэсэн үг.
Үүнийг хоёр команд шийднэ: дүрмийн жагсаалт ба тухайн хүснэгт дэх хүрэх газрын маршрутын хайлт.
Шалгалт 2: пакетын тэмдэг үү, холболтын тэмдэг үү
nftables пакет дээр тэмдэг, холболтын хяналтын бичлэг дээр тэмдэг тавьж болох бөгөөд эдгээр нь өөр объектууд юм. Пакетын тэмдэг пакетын боловсруулалтын явцад амьдардаг бол холболтын тэмдэг урсгалын турш хадгалагдаж, зориуд хуулагдах ёстой. Нэгийг тавиад нөгөөг хүлээх нь түгээмэл хагас засвар юм.
Хэрэв чиглүүлэлтийн дүрэм пакетын тэмдэгт тулгуурладаг бол замын дараа холболтын тэмдгийг сэргээх нь тэр шийдвэрт юу ч хийхгүй, учир нь шийдвэр аль хэдийн гарсан.
Чиглүүлэлтийн дохио аль объектод хамаарахыг тодорхойлоод, чиглүүлэлтийн шийдвэр гардаг цэг дээр тавина уу.
Шалгалт 3: энэ тэмдгийг өөр хэн бичдэг вэ
WireGuard-ийн өөрийн хэрэгслүүд өөрийн UDP пакетуудыг тэмдэглэдэг тул шифрлэгдсэн тээвэр нь хамаарах туннель руу буцаж чиглэгдэхгүй. Хэрэв таны дүрмийн багц ижил талбарт холбоогүй утга оноовол тэр хасалт алга болж, туннелийн гадаад урсгал өөр дотроо орохыг оролдоно. Шинж тэмдэг нь тогтсоны дараа урсгал дамжуулахаа болих туннель юм.
Тэмдгийг бусад галт хананы хэрэгсэл, контейнерын сүлжээ, өөр зорилгоор бодлогын чиглүүлэлт мөн ашигладаг тул хоёр дэд систем бүх талбарыг бичих нь тус бүр зөв байсан ч зөрчил юм.
Дахиад нэгийг нэмэхийн өмнө бичигчдийг жагсаа.
Шалгалт 4: маск юу үлдээхийг шийднэ
Тэмдэг бол 32 битийн талбар бөгөөд маск нь хэд хэдэн эзэн үүнийг хуваалцах арга юм. Масктайгаа утга тавих нь таньд хамаарахгүй битүүдийг хадгална; бүх талбарыг тавих нь бусад бүхний битийг устгана. Талбарыг хүрэх бүх дүрэмд маскийг уншина уу, таны бичээгүй дүрмүүдийг оруулаад.
Битийн хуваарилалтыг дүрмийн багцын дэргэд баримтжуул.
Эс бөгөөс дараагийн хүн аль хэдийн эзэнтэй утгыг дахин ашиглах бөгөөд эндхийн зөрчил нь хаягийн алдаа байхад чиглүүлэлтийн алдаа мэт харагдана. Пакетын мета өгөгдлийн тухай nftables баримт бичиг тэмдгийн үйлдлүүдийг өөрөөр тайлбарладаг.
Шалгалт 5: хайлтаар биш, бодит урсгалаар шалга
Энгийн маршрутын хайлт тэмдэг агуулдаггүй тул бодит пакетаас өөр зам харуулж болно. Танд чухал урсгалыг үүсгээд тоолуур, холболтын хяналтын бичлэг, түүний үнэхээр гарч буй интерфейсийг ажигла. Оруулсан ангилал ба хасагдсан ангиллыг хоёуланг нь турш, учир нь хэт өргөн тэмдэг хасалтыг эвддэг боловч амжилттай харагддаг. Оруулсан ангилал ажиллаж, хасагдсан ангилал ч туннельд орвол тэмдэг хэт нарийн биш, хэт өргөн байна.
Идэвхтэй сессийн үед шинэчлэлтийг албадахын тулд холболтын төлөвийг арилгахаас зайлсхий, учир нь шинэ ба одоо байгаа урсгалууд хууль ёсоор өөр замаар явж болно.
Тэмдэг, маск, хүснэгтийг нэг газарт тэмдэглэ, тэгвэл дараагийн засвар хянагдахуйц болно.