nftables: daħħal ir-regola tal-permess VPN qabel il-handle tad-drop

Poġġi regola tal-permess f’post ħażin u taġixxi bħallikieku ma hemm l-ebda regola tal-permess. Fin-nftables l-għażla bejn insert u add tiddetermina f’liema naħa ta’ regola referenzjata ser tinżel id-dikjarazzjoni l-ġdida, u handle isemmi r-regola fis-sett tar-regoli ħaj minflok in-numru tal-linja tagħha. Jekk it-tqegħid ikun ħażin, il-pakkett jilħaq id-drop l-ewwel.

It-tqabbil hawn taħt juża sieħeb wieħed fiss u skambju wieħed ta’ semmiegħ estern. Huwa dejjaq apposta; li tissostitwixxi katina sħiħa hija bidla oħra b’profil ta’ riskju differenti.

Żewġ tqegħidiet, żewġ riżultati differenti

insert ipoġġi regola qabel ir-regola referenzjata. add ipoġġiha warajha. Jekk ir-regola referenzjata hija d-drop terminali għall-fluss, dawn iż-żewġ kmandi jagħtu riżultati opposti għalkemm it-test tar-regola huwa identiku.

Li tħalli barra post għandu l-imġiba tiegħu stess bħala default, li hija raġuni oħra biex ma tikkupjax kmand minn forum mingħajr ma taqra ma’ xiex huwa ankrat. L-ankra hija d-deċiżjoni kollha. Ikteb in-naħa intiża qabel ma tikteb il-kmand. insert u add huma kelma waħda ‘l bogħod fil-fajl.

It-tqegħid huwa relattiv għal regola f’katina partikolari. Li tmexxi l-istess dikjarazzjoni għal katina oħra jew prijorità hook oħra jbiddel liema pakketti tara, anki meta s-sintassi tar-regola tidher korretta.

Handle jidentifika regola, mhux numru tal-linja

Handle bħal 42 huwa identifikatur fl-istat attwali tas-sett tar-regoli. Mhuwiex it-tieni regola u erbgħin, u mhuwiex stabbli bejn hosts, bini mill-ġdid jew manager li jerġa’ jgħabbi l-konfigurazzjoni tiegħu.

Sib il-katina u d-drop terminali attwali qabel tagħżel l-ankra. Imbagħad ikkonferma l-handle fuq dik ir-regola fl-istess lista li turi d-drop, sabiex in-numru u r-regola jinqraw flimkien. Handle moqri minn lista qadima jista’ diġà jappartjeni lil regola oħra. Erġa’ aqrah fis-sessjoni li se tapplika l-bidla.

iptables --version
nft -a list ruleset

Il-verżjoni ta’ iptables tirrapporta liema backend qed jintuża. Sett ta’ regoli iptables-nft u tabella nattiva mmaniġġjata b’mod indipendenti jistgħu jikkoeżistu, għalhekk lista minn frontend wieħed mhijiex awtomatikament l-immaġni sħiħa tal-filtrazzjoni. Iċċekkja ż-żewġ fehmiet qabel tagħżel katina.

Sib il-katina u r-regola li tassew jagħmlu drop

Aqra l-hook tal-input, il-prijorità tal-katina u r-regola li tirrifjuta dan il-fluss tas-semmiegħ. Tabella inet tista’ ġġorr iż-żewġ familji tal-indirizzi, imma regola waħda xorta tista’ taqbel ma’ IPv4 biss.

Ħu sieħeb approvat wieħed, u uża 198.51.100.25 mill-firxa tad-dokumentazzjoni bħala eżempju. Fajl nattiv rivedut jista’ jqiegħed permess estern qabel il-handle 42:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Issostitwixxi l-familja, it-tabella, il-katina, il-handle, l-interface tad-dħul u s-sieħeb wara l-ispezzjoni. L-eżempju juża l-forma tal-post tal-handle dokumentata għal nft 1.0.9, u din tappartjeni f’fajl tal-input; il-kwotazzjoni tal-braces hija kwistjoni separata meta l-kmand jinkiteb b’mod interattiv.

Żomm lis-sid tal-konfigurazzjoni ċar. Manager li jerġa’ jibni r-regoli tiegħu jista’ jikteb fuq editjar fil-ħin tal-ġiri, u skript tal-boot li jikkodifika handle qadim se jew ifalli jew jeħel mar-regola ħażina.

Il-permess huwa limitat, id-drop huwa terminali

Verdett ta’ permess itemm l-evalwazzjoni fil-passaġġ attwali tiegħu, imma katina bażi applikabbli aktar tard xorta tista’ twaqqa’ l-pakkett. Verdett ta’ drop huwa terminali. Għalhekk counter tal-permessi li qed jiżdied mhuwiex prova li l-fluss irnexxa.

Spezzjona l-prijoritajiet kollha tal-hook rilevanti minflok katina waħda b’mod iżolat. Pakkett jista’ jgħaddi minn filtru tal-input u xorta jiġi rrifjutat mill-hook ta’ tabella oħra f’prijorità differenti. Elenka kull katina bażi li tista’ tara l-fluss.

Dik ir-regola tkopri biss l-iskambju tas-semmiegħ estern. ESP inkapsulat fit-trasport, ESP nattiv, sieħba IPv6 u t-traffiku deċifrat ġewwa t-tunnel kollha għandhom bżonn politiki tagħhom stess. Dan mhuwiex firewall VPN tas-sit sħiħ.

Iċċekkja l-fajl, imbagħad ivverifika r-riżultat ħaj

Mexxi verifika tas-sintassi u tat-tranżazzjoni fuq il-fajl rivedut qabel tapplikah. Il-modalità tal-verifika tirrapporta jekk nft tistax tanalizza u tħejji l-bidla; ma tapplikahiex u ma tippruvax li hook ieħor se jippermetti l-pakkett. Il-fajl jibqa’ proposta sakemm is-sid japplikah:

nft -c -f reviewed-vpn-rule.nft

Applika permezz tal-proċess ikkontrollat tas-sid u żomm l-aċċess għall-irkupru. Jekk ir-regola hija ħażina, id-drop li kont qed tipprova tippreċedi jista’ jaqta’ wkoll il-passaġġ li tuża biex tikkoreġiha.

Wara l-bidla, osserva tentattiv ġdid ta’ sieħeb permess u ċċekkja li sorsi barra s-sieħeb approvat għadhom jiġu rrifjutati. Mexxi r-regola dejjiema lejn il-manager li jippossjedi s-sett tar-regoli, għax il-handles fil-ħin tal-ġiri jillokalizzaw l-oġġetti attwali minflok ma jidentifikawhom bejn il-boots.