Żomm il-politika tan-nftables stabbli waqt li tasal l-interfaċċa VPN

It-tunnels huma temporanji; il-politika m'għandhiex tkun hekk. Fuq gateway Linux, regola tan-nftables li tqabbel l-interfaċċa tat-tunnel bl-isem tista' tiġi mgħobbija darba u tibqa' tiġi applikata kull darba li dik l-interfaċċa tidher. L-interfaċċa xorta waħda għandha ċiklu tal-ħajja: tinħoloq, tisparixxi, u r-rotot u t-traduzzjonijiet madwarha jsegwu l-iskeda tagħhom stess. Is-separazzjoni ta' dawn is-sidien hija dak li jżomm l-aċċess stabbli waqt rikonnessjoni.

Tqabbil bl-isem jgħix itwal mill-interfaċċa

nftables joffri tqabbil numeriku tal-indiċi tal-interfaċċa u t-tqabbil dinamiku bl-isem iifname u oifname. Regoli li jużaw dawn l-ismijiet jitgħabbew b'mod nadif anki meta l-apparat tat-tunnel għadu ma nħoloqx, li huwa eżattament dak li jeħtieġ sett ta' regoli waqt il-boot. It-tqabbil jieqaf jekk l-interfaċċa tinbidel isimha u jerġa' jibda meta interfaċċa ġdida tieħu dak l-isem. Indiċi numeriku m'għandux dik il-proprjetà, u għalhekk il-forma bl-isem hija l-għażla tas-soltu għal tunnel.

L-isem huwa ċavetta tat-tqabbil, mhux prova ta' min qiegħed fit-tarf l-ieħor. L-awtentikazzjoni tal-pari tibqa' xogħol tal-VPN.

Aqra l-katina qabel iżżid ir-regoli

Ħares lejn x'fih is-sett ta' regoli bħalissa u fejn tkun tinsab regola ġdida, għax l-ordni tiddeċiedi r-riżultat.

nft list ruleset
nft -c -f /etc/nftables.conf

Il-lista turi ktajjen, regoli u mankijiet, u l-mod tal-verifika jivvalida fajl kandidat mingħajr ma jgħabbu. Permess għat-tunnel biss, imqiegħed wara aċċettazzjoni preċedenti għall-istess fluss, ma jbiddel xejn, għax tirbaħ l-ewwel regola li taqbel. Għalhekk regola tardiva tista' tidher korretta u ma jkollha l-ebda effett. Aqra l-katina fl-ordni u kkonferma li l-projbizzjoni għat-traffiku mill-klijent lejn il-link 'il fuq għadha tiġi qabel xi ħaġa usa'.

Ir-rotot, it-traduzzjoni u l-flussi għandhom sidien oħra

Il-preżenza tal-interfaċċa ma toħloq l-ebda rotta u ma tawtentika lill-pari. Dawk huma tal-maniġer tal-VPN, filwaqt li t-traduzzjoni għandha t-tielet ċiklu tal-ħajja.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Il-lista tal-conntrack turi l-flussi eżistenti bil-valuri oriġinali u tradotti tagħhom, u l-lista tar-rotot turi x'installa l-maniġer għall-interfaċċa. Ir-regoli tan-NAT jistabbilixxu l-istat tas-segwitu tal-konnessjoni fl-ewwel pakkett, u għalhekk fluss stabbilit iżomm it-traduzzjoni tiegħu anki wara li tinbidel ir-regola. Għalhekk regola li tiġi aġġornata u fluss li juża t-triq il-ġdida huma żewġ affermazzjonijiet differenti. Iddeċiedi liema sessjonijiet iridu jerġgħu jikkonnettjaw u ħalli l-flussi mhux relatati.

Aċċetta t-tnedija kiesħa, it-telf u l-irkupru

Ittestja l-gateway bit-tunnel nieqes waqt il-boot, imbagħad preżenti, imbagħad wara waqfa u ritorn. Ikkonferma li l-iffurzar ipprojbit jibqa' miċħud waqt li t-tunnel ikun nieqes, li fluss ġdid permess jaħdem ladarba l-pari jiġi awtentikat, u li l-irkupru ma jeħtieġx li jitbattal stat mhux relatat. Tħassarx il-katina POSTROUTING kollha jew kull entrata tal-conntrack bħala azzjoni ta' waqfien ta' profil wieħed, għax servizzi oħra jaqsmuha. Irreġistra liema komponent biddel l-interfaċċa, ir-rotta u l-politika, minflok biss li hook tat-tnedija ħareġ bi żero.

Politika li tgħix rikonnessjoni hija waħda li s-sidien tagħha huma msemmija u r-regoli tagħha ġew ittestjati bit-tunnel kemm 'l isfel kif ukoll 'il fuq. Hook li jirrapporta suċċess jipprova biss li l-hook mexa.