Nama rantai bukan cangkuk: iptables lwn nftables

Kedua-dua firewall boleh menapis trafik VPN yang diteruskan, dan mereka melampirkan peraturan pada laluan paket dengan cara berbeza. iptables mempunyai rantai terbina dalam di dalam jadual, jadi FORWARD wujud sebagai titik cangkuk bernama. nftables mengasingkan nama rantai daripada jenis, cangkuk dan keutamaan, bermakna rantai biasa bernama FORWARD tidak menapis apa-apa. Membandingkan kedua-dua model menjelaskan mengapa entri yang kelihatan betul dalam satu alat tidak memberi kesan dalam alat yang lain.

Rantai ialah bekas. Sama ada kernel merujuknya bergantung pada pelaksanaan dan pada cara set peraturan melampirkannya.

Dua Model, Dua Lampiran Berbeza

Dalam iptables, jadual filter disertakan dengan tiga rantai terbina dalam, INPUT, FORWARD dan OUTPUT, dan -N mencipta rantai takrifan pengguna yang hanya berkesan apabila dilompat ke atasnya daripada salah satu daripadanya. Manual nftables sebaliknya mentakrifkan rantai asas, yang mengisytiharkan jenis, cangkuk dan keutamaan mereka, dan rantai biasa, yang tidak berbuat demikian. Rantai asas boleh membawa apa-apa nama, dan rantai biasa bernama FORWARD tidak memperoleh apa-apa sifat daripada labelnya. Itulah keseluruhan perbezaan, dan ia tidak kelihatan dalam tutorial yang hanya menunjukkan teks peraturan.

Backend keserasian menambah sebab kedua untuk tidak menyimpulkan tingkah laku daripada nama arahan. Dokumentasi iptables mencatatkan operasi yang berbeza di bawah iptables-nft, jadi anggap nftables asli, iptables-nft dan set peraturan lama sebagai tiga sistem, bukan tiga ejaan bagi satu.

Baca Ralat dalam Konteks Sebenarnya

Jadual yang hilang, kegagalan kebenaran, kemudahan kernel yang tidak tersedia dan rantai bernama yang hilang ialah empat penemuan berbeza, dan hanya satu berkaitan dengan rantai. Rekodkan versi alat, keluarga alamat dan jadual yang diminta, ruang nama rangkaian dan ralat tepat yang pertama. Kemudian periksa komponen mana yang memiliki set peraturan: perkhidmatan firewall atau gateway yang diurus produk mungkin menjana rantai dan susunannya sendiri. Menambah rantai asli di sebelahnya membiarkan dasar terurus tidak tersentuh dan inventori lebih mengelirukan.

Ruang nama kontena boleh memegang set peraturan berbeza daripada hos, jadi arahan yang dijalankan dalam konteks salah tidak dapat menunjukkan rantai mana yang melihat paket yang diteruskan. Menaikkan keistimewaan kerana rantai yang dijangka tidak kelihatan bukan diagnosis.

Pembilang Membuktikan Jangkauan, Bukan Keputusan

Pembilang peraturan memberitahu anda bahawa sesuatu peraturan telah dicapai. Ia tidak memberitahu anda bahawa peraturan kemudian membenarkan operasi, dan tidak membuktikan setiap laluan alternatif ditolak. Bacalah semasa satu aliran sah yang tidak berbahaya, bersama susunan peraturan dan lampiran rantai, dan anggap ia sebagai satu pemerhatian, bukan keputusan. Pembilang bukan sifar pada peraturan drop bermakna trafik mengenainya; ia tidak berkata apa-apa tentang trafik yang tidak mengenainya.

Pemajuan IP kernel ialah tetapan yang sama sekali berasingan. Kewujudan rantai tidak mengaktifkan pemajuan, dan ketiadaan label yang biasa tidak bermakna pemajuan berhenti.

Huraikan Aliran yang Ingin Anda Lindungi

Tuliskan satu permintaan klien selepas dekapsulasi: sumbernya, destinasinya, keluarga alamat, dan sama ada ia berakhir di gateway atau melaluinya. Input perkhidmatan setempat dan trafik yang diteruskan diperhatikan pada titik berbeza, jadi ia memerlukan peraturan dan ujian berbeza. Untuk VPN berjambatan, sahkan laluan jambatan juga, kerana rantai pada peringkat IP tidak mengawal bingkai Ethernet secara automatik.

Kekalkan akses pemulihan bebas sebelum menukar gateway jauh. Kemudian sahkan aliran yang dimaksudkan dan penafian yang diperlukan di bawah set peraturan yang sama. Rantai kosong baharu dengan nama biasa bukan pembaikan.

Perbandingan berakhir dengan satu soalan: cangkuk mana yang sebenarnya dipanggil kernel untuk paket ini? Jawab itu, dan nama rantai tidak lagi penting.