Kekalkan dasar nftables stabil semasa antara muka VPN muncul

Terowong boleh dibuang; dasar tidak sepatutnya begitu. Pada get laluan Linux, peraturan nftables yang memadankan antara muka terowong mengikut nama boleh dimuatkan sekali dan terus digunakan setiap kali antara muka itu muncul. Antara muka masih mempunyai kitaran hayat: ia dicipta, ia hilang, dan laluan serta terjemahan di sekelilingnya mengikut jadualnya sendiri. Memisahkan pemilik itulah yang mengekalkan akses stabil semasa sambungan semula.

Padanan nama hidup lebih lama daripada antara muka

nftables menawarkan padanan indeks antara muka yang bernombor dan padanan nama dinamik iifname dan oifname. Peraturan yang menggunakan nama itu dimuatkan dengan bersih walaupun peranti terowong belum dicipta, yang tepat apa yang diperlukan oleh set peraturan semasa but. Padanan berhenti jika antara muka dinamakan semula dan bersambung semula apabila antara muka baharu mengambil nama itu. Indeks bernombor tidak mempunyai sifat itu, sebab itu bentuk nama menjadi pilihan biasa untuk terowong.

Nama ialah kunci padanan, bukan bukti siapa di hujung sana. Pengesahan rakan sebaya kekal tugas VPN.

Baca rantai sebelum menambah peraturan

Lihat apa yang terkandung dalam set peraturan sekarang dan di mana peraturan baharu akan duduk, kerana susunan menentukan hasilnya.

nft list ruleset
nft -c -f /etc/nftables.conf

Penyenaraian menunjukkan rantai, peraturan dan pemegang, dan mod semak mengesahkan fail calon tanpa memuatkannya. Kebenaran khusus terowong yang diletakkan selepas penerimaan terdahulu untuk aliran yang sama tidak mengubah apa-apa, kerana peraturan pertama yang sepadan menang. Sebab itu peraturan lewat boleh kelihatan betul tetapi tiada kesan. Baca rantai mengikut urutan dan sahkan bahawa larangan lalu lintas pelanggan ke pautan atas masih mendahului apa-apa yang lebih luas.

Laluan, terjemahan dan aliran mempunyai pemilik lain

Kehadiran antara muka tidak mencipta laluan dan tidak mengesahkan rakan sebaya. Itu milik pengurus VPN, manakala terjemahan mempunyai kitaran hayat ketiga.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Penyenaraian conntrack menunjukkan aliran sedia ada dengan nilai asal dan terjemahannya, dan penyenaraian laluan menunjukkan apa yang dipasang pengurus untuk antara muka. Peraturan NAT menetapkan keadaan penjejakan sambungan pada paket pertama, jadi aliran yang telah terbentuk mengekalkan terjemahannya walaupun selepas peraturan berubah. Sebab itu peraturan yang dikemas kini dan aliran yang menggunakan laluan baharu ialah dua kenyataan berbeza. Tentukan sesi mana yang mesti bersambung semula dan biarkan aliran tidak berkaitan.

Terima but sejuk, kehilangan dan pemulihan

Uji get laluan dengan terowong tiada semasa but, kemudian ada, kemudian selepas terputus dan kembali. Sahkan bahawa penghantaran terlarang kekal ditolak semasa terowong tiada, aliran baharu yang dibenarkan berfungsi selepas rakan sebaya disahkan, dan pemulihan tidak memerlukan pembersihan keadaan tidak berkaitan. Jangan padam seluruh rantai POSTROUTING atau setiap entri conntrack sebagai tindakan berhenti satu profil, kerana perkhidmatan lain berkongsinya. Catat komponen mana yang mengubah antara muka, laluan dan dasar, bukan hanya bahawa cangkuk mula keluar dengan sifar.

Dasar yang bertahan melalui sambungan semula ialah dasar yang pemiliknya dinamakan dan peraturannya diuji dengan terowong dalam keadaan turun dan naik. Cangkuk yang melaporkan kejayaan hanya membuktikan bahawa cangkuk itu berjalan.