Marki nftables u Routing VPN: Liema Regola Tirbaħ tassew

Marka mqiegħda f’nftables suppost tgħaddi klassi waħda ta’ traffiku mill-mina, u t-traffiku jibqa’ ħiereġ mill-interface fiżika. Is-sett ta’ regoli jidher korrett waħdu. Dak li normalment ġara huwa li xi ħaġa oħra kitbet l-istess marka, jew li r-regola tar-routing taqbel ma’ mask li l-valur il-ġdid m’għadux jissodisfa.

Verifika 1: aqra r-regola li magħha jaqbel il-kernel

Ibda bir-regola tal-politika u mhux mill-firewall. Il-kernel iħares lejn ir-regoli bl-ordni ta’ prijorità u l-ewwel qbil jiddeċiedi t-tabella. Aqra l-valur fwmark u l-mask mir-regola stess, imbagħad ikkonferma li pakkett bil-marka li poġġejt tassew jaqbel magħha. Regola li tistenna valur sħiħ ta’ 32 bit mhux se taqbel ma’ pakkett li jġorr bit wieħed biss.

Imbagħad ikkonferma liema tabella tagħżel dik ir-regola u x’fiha t-tabella. Regola li tindika tabella vojta tipproduċi falliment fit-tfittxija, li f’ħafna sistemi jfisser li l-pakkett jaqa’ għar-regola li jmiss u joħroġ mill-interface fiżika.

Żewġ komandi jsolvu dan: il-lista tar-regoli, u t-tfittxija tar-rotta għad-destinazzjoni f’dik it-tabella.

Verifika 2: marka tal-pakkett jew marka tal-konnessjoni

nftables jista’ jqiegħed marka fuq il-pakkett u marka fuq id-dħul tal-intraċċar tal-konnessjonijiet, u dawn huma oġġetti differenti. Il-marka tal-pakkett tgħix matul il-passaġġ tal-ipproċessar tal-pakkett, filwaqt li l-marka tal-konnessjoni tibqa’ għall-fluss u trid tiġi kkupjata apposta. Li tqiegħed waħda u tistenna l-oħra hija nofs soluzzjoni komuni.

Jekk ir-regola tar-routing tiddependi fuq il-marka tal-pakkett, ir-restawr tal-marka tal-konnessjoni aktar tard fil-mogħdija ma jagħmel xejn għal dik id-deċiżjoni, għax id-deċiżjoni diġà ttieħdet.

Iddeċiedi liema oġġett għandu s-sinjal tar-routing, imbagħad qiegħdu fil-punt fejn tittieħed id-deċiżjoni tar-routing.

Verifika 3: min ieħor jikteb dik il-marka

L-għodda ta’ WireGuard stess timmarka l-pakketti UDP tagħha biex it-trasport ikkriptat ma jerġax jiġi routjat fil-mina li tagħha huwa. Jekk is-sett ta’ regoli tiegħek jagħti valur mhux relatat lill-istess qasam, dak l-esklużjoni jisparixxi u t-traffiku ta’ barra tal-mina jipprova jidħol fih innifsu. Is-sintomu huwa mina li tistabbilixxi u mbagħad tieqaf tgħaddi t-traffiku.

Il-marki jintużaw ukoll minn għodda oħra tal-firewall, min-networking tal-kontenituri u mir-routing tal-politika għal skopijiet oħra, għalhekk żewġ sottosistemi li jiktbu l-qasam kollu huwa konflitt anki meta kull wieħed minnhom ikun korrett waħdu.

Elenka l-kittieba qabel ma żżid ieħor.

Verifika 4: il-mask tiddeċiedi x’tiżżomm

Marka hija qasam ta’ 32 bit, u l-masks huma l-mod kif diversi sidien jaqsmuha. Li tqiegħed valur b’mask tippreserva l-bits li mhumiex tiegħek; li tqiegħed il-qasam kollu jeqred dawk ta’ kulħadd. Aqra l-mask f’kull regola li tmiss il-qasam, inkluż dawk li ma ktibt int.

Iddokumenta l-allokazzjoni tal-bits ħdejn is-sett ta’ regoli.

Inkella l-persuna li jmiss se terġa’ tuża valur li diġà għandu sid, u konflitt hawn jidher bħala bug tar-routing meta huwa bug tal-indirizzar. Id-dokumentazzjoni ta’ nftables dwar il-metadata tal-pakketti tiddeskrivi l-operazzjonijiet tal-marka stess.

Verifika 5: ivverifika b’fluss reali, mhux b’tfittxija

Tfittxija sempliċi tar-rotta ma ġġorrx marka, għalhekk tista’ turi mogħdija differenti mill-pakkett reali. Iġġenera t-traffiku li jinteressak u osserva l-kontaturi, id-dħul tal-intraċċar tal-konnessjonijiet u l-interface li minnha tassew joħroġ. Ipprova kemm il-klassi inkluża kif ukoll il-klassi eskluża, għax marka wiesgħa wisq tkisser l-esklużjoni filwaqt li tidher b’suċċess. Jekk il-klassi inkluża taħdem u l-klassi eskluża wkoll tidħol fil-mina, il-marka hija wiesgħa wisq u mhux dejqa wisq.

Evita li tneħħi l-istat tal-konnessjonijiet biex iġġiegħel aġġornament waqt sessjoni ħajja, għax flussi ġodda u eżistenti jistgħu legalment jieħdu mogħdijiet differenti.

Irreġistra l-marka, il-mask u t-tabella f’post wieħed, u l-editjar li jmiss isir verifikabbli.