L-isem tal-katina mhuwiex bokk: iptables kontra nftables

Iż-żewġ firewalls jistgħu jiffiltraw traffiku VPN imbattal, u jwaħħlu r-regoli mal-passa tal-pakkett b'modi differenti. iptables għandu katini inkorporati ġewwa tabella, għalhekk FORWARD jeżisti bħala punt tal-bokk bl-isem. nftables jifred l-isem ta' katina mit-tip, mill-bokk u mill-prijorità tagħha, li jfisser li katina ordinarja bl-isem FORWARD ma tiffiltrax xejn. It-tqabbil taż-żewġ mudelli jispjega għaliex entrata li tidher tajba f'għodda waħda m'għandha l-ebda effett fl-oħra.

Katina hija kontenitur. Jekk il-kernel jikkonsultahiex jiddependi mill-implimentazzjoni u minn kif is-sett ta' regoli jwaħħalha.

Żewġ mudelli, żewġ twaħħil differenti

F'iptables it-tabella filter tiġi bi tliet katini inkorporati, INPUT, FORWARD u OUTPUT, u -N jagħmel katina definita mill-utent li taħdem biss meta wieħed jaqbeż għaliha minn waħda minnhom. Il-manwal ta' nftables minflok jiddefinixxi katini bażi, li jiddikjaraw it-tip, il-bokk u l-prijorità tagħhom, u katini ordinarji, li ma jagħmlux hekk. Katina bażi tista' ġġorr kwalunkwe isem, u katina ordinarja bl-isem FORWARD ma tikseb l-ebda proprjetà mit-tikketta tagħha. Dik hija d-differenza kollha, u hija inviżibbli f'tutorial li juri biss it-test tar-regoli.

Backends ta' kompatibilità jżidu t-tieni raġuni biex ma jiġix dedott l-imġiba mill-isem ta' kmand. Id-dokumentazzjoni ta' iptables tinnota operazzjonijiet li jvarjaw taħt iptables-nft, għalhekk ikkunsidra n-nftables nattiv, iptables-nft u sett ta' regoli antik bħala tliet sistemi u mhux tliet ortografiji ta' wieħed.

Aqra l-iżball fil-kuntest reali tiegħu

Tabella neqsin, falliment ta' permess, faċilità tal-kernel mhux disponibbli u katina msemmija neqsin huma erba' sejbiet differenti, u wieħed biss huwa dwar il-katina. Irreġistra l-verżjoni tal-għodda, il-familja tal-indirizzi u t-tabella mitluba, in-namespace tan-netwerk u l-ewwel żball eżatt. Imbagħad iċċekkja liema komponent jippossjedi s-sett ta' regoli: servizz firewall jew gateway immexxi mill-prodott jista' jiġġenera l-katini u l-ordni tiegħu stess. Żieda ta' katina nattiva ħdejhom tħalli l-politika mmaniġġjata mhux mittiefsa u l-inventarju aktar konfuż.

In-namespace ta' kontenitur jista' jżomm sett ta' regoli differenti minn dak tal-host, għalhekk kmand imħaddem fil-kuntest ħażin ma jistax juri liema katina rat pakkett imbattal. Tgħolli l-privileġġi għax katina mistennija ma kinitx tidher mhuwiex dijanjosi.

Il-kontaturi jippruvaw il-wasla, mhux il-verdett

Il-kontaturi tar-regoli jgħidulek li regola ntlaħqet. Ma jgħidulekx li regola aktar tard ippermettiet l-operazzjoni, u ma jippruvawx li kull passa alternattiva ġiet miċħuda. Aqrahom waqt fluss wieħed awtorizzat bla ħsara, flimkien mal-ordni tar-regoli u t-twaħħil tal-katina, u qishom osservazzjoni waħda u mhux verdett. Kontatur mhux żero fuq regola drop ifisser li t-traffiku laqatha; ma jgħid xejn dwar traffiku li ma laqahiex.

L-IP forwarding tal-kernel hija setting kompletament separata. L-eżistenza ta' katina ma tattivax il-forwarding, u l-assenza ta' tikketta familjari ma tfissirx li l-forwarding waqfet.

Iddeskrivi l-fluss li trid tipproteġi

Ikteb talba waħda tal-klijent wara d-dekapsulazzjoni: is-sors tagħha, id-destinazzjoni, il-familja tal-indirizzi, u jekk tintemmx fil-gateway jew tgħaddix minnu. L-input tas-servizz lokali u t-traffiku imbattal jiġu osservati f'punti differenti, għalhekk jeħtieġu regoli differenti u testijiet differenti. Għal VPN bil-pont, ivverifika wkoll il-passa tal-pont, għax katina fil-livell IP ma tikkontrollax awtomatikament il-frejms Ethernet.

Ippreserva aċċess indipendenti għall-irkupru qabel ma tbiddel gateway remot. Imbagħad ikkonferma l-fluss maħsub u ċ-ċaħdiet meħtieġa taħt l-istess sett ta' regoli. Katina vojta ġdida b'isem familjari mhijiex tiswija.

It-tqabbil jispiċċa b'domanda waħda: liema bokk il-kernel tassew isejjaħ għal dan il-pakkett? Wieġeb dik, u l-isem tal-katina ma jibqax importanti.