nftables मार्क र VPN राउटिङ: कुन नियमले साँच्चै जित्छ

nftables मा राखिएको मार्कले एक वर्गको ट्राफिक सुरुङबाट पठाउनुपर्ने हो, तर ट्राफिक भौतिक इन्टरफेसबाटै बाहिर जाने गर्छ। नियमसमूह अलग हेर्दा सही देखिन्छ। प्रायः भएको कुरा यो हो कि अरू केहीले त्यही मार्क लेख्यो, वा राउटिङ नियम त्यस्तो मास्कसँग मिल्छ जुन नयाँ मानले अब पूरा गर्दैन।

जाँच 1: कर्नेल जुन नियमसँग मिल्छ त्यो पढ्नुहोस्

फायरवालबाट नभई नीति-नियमबाट सुरु गर्नुहोस्। कर्नेलले नियमहरू प्राथमिकताको क्रममा हेर्छ र पहिलो मिलानले तालिका निर्धारण गर्छ। नियमबाटै fwmark मान र मास्क पढ्नुहोस्, त्यसपछि तपाईंले राखेको मार्क भएको प्याकेट साँच्चै त्यससँग मिल्छ कि भनी पुष्टि गर्नुहोस्। पूर्ण 32-बिट मान अपेक्षा गर्ने नियम एक बिट मात्र बोकेको प्याकेटसँग मिल्दैन।

त्यसपछि त्यो नियमले कुन तालिका छान्छ र तालिकामा के छ भनी पुष्टि गर्नुहोस्। खाली तालिकातिर देखाउने नियमले खोज असफल बनाउँछ, जसको अर्थ धेरै प्रणालीमा प्याकेट अर्को नियममा खस्छ र भौतिक इन्टरफेसबाट बाहिर जान्छ।

दुई आदेशले यो टुंग्याउँछन्: नियमहरूको सूची, र त्यो तालिकामा गन्तव्यको रुट खोज।

जाँच 2: प्याकेट मार्क कि कनेक्सन मार्क

nftables ले प्याकेटमा मार्क र कनेक्सन-ट्र्याकिङ प्रविष्टिमा मार्क राख्न सक्छ, र यी फरक वस्तु हुन्। प्याकेट मार्क प्याकेटको प्रशोधन-चक्रमा बाँच्छ, जबकि कनेक्सन मार्क प्रवाहका लागि रहन्छ र जानाजानी प्रतिलिपि गर्नुपर्छ। एउटा राखेर अर्कोको अपेक्षा गर्नु सामान्य आधा-उपाय हो।

राउटिङ नियम प्याकेट मार्कमा आधारित छ भने, मार्गमा पछि कनेक्सन मार्क पुनर्स्थापना गर्दा त्यो निर्णयका लागि केही हुँदैन, किनकि निर्णय पहिले नै भइसकेको छ।

राउटिङ सङ्केत कुन वस्तुको हो निर्धारण गर्नुहोस्, त्यसपछि राउटिङ निर्णय लिइने बिन्दुमा त्यो राख्नुहोस्।

जाँच 3: यो मार्क अरू कसले लेख्छ

WireGuard का आफ्नै उपकरणहरूले आफ्ना UDP प्याकेटमा मार्क लगाउँछन् ताकि इन्क्रिप्टेड यातायात आफू पर्ने सुरुङमै फर्केर रुट नहोस्। यदि तपाईंको नियमसमूहले त्यही फिल्डमा असम्बन्धित मान दिन्छ भने त्यो बहिष्करण हराउँछ र सुरुङको बाहिरी ट्राफिक आफैंभित्र पस्न खोज्छ। लक्षण भनेको स्थापित भएपछि ट्राफिक पास गर्न रोक्ने सुरुङ हो।

मार्क अन्य फायरवाल उपकरण, कन्टेनर नेटवर्किङ र अन्य प्रयोजनका लागि नीति-राउटिङले पनि प्रयोग गर्छन्, त्यसैले दुई उपप्रणालीले पूरै फिल्ड लेख्नु प्रत्येक अलग हुँदा सही भए पनि द्वन्द्व हो।

अर्को थप्नु अघि लेखकहरूको सूची बनाउनुहोस्।

जाँच 4: मास्कले तपाईं के राख्ने भन्ने निर्धारण गर्छ

मार्क 32-बिट फिल्ड हो, र मास्क भनेको धेरै मालिकले यसलाई बाँड्ने तरिका हो। मास्कसहित मान राख्दा तपाईंको नभएका बिट सुरक्षित रहन्छन्; पूरै फिल्ड राख्दा अरू सबैका बिट नष्ट हुन्छन्। फिल्ड छुने हरेक नियममा मास्क पढ्नुहोस्, तपाईंले नलेखेकाहरूमा पनि।

नियमसमूहको छेउमा बिट बाँडफाँट अभिलेख गर्नुहोस्।

नत्र अर्को व्यक्तिले पहिले नै मालिक भएको मान पुनः प्रयोग गर्नेछ, र यहाँको द्वन्द्व राउटिङ बगजस्तो देखिन्छ जबकि त्यो ठेगाना सम्बन्धी बग हो। प्याकेट मेटाडेटाबारे nftables को कागजात ले मार्क क्रियाहरू आफैं वर्णन गर्छ।

जाँच 5: खोजले होइन, वास्तविक प्रवाहले प्रमाणित गर्नुहोस्

साधारण रुट खोजले कुनै मार्क बोक्दैन, त्यसैले वास्तविक प्याकेटभन्दा फरक मार्ग देखाउन सक्छ। तपाईंलाई महत्त्वपूर्ण ट्राफिक उत्पन्न गर्नुहोस् र काउन्टर, कनेक्सन-ट्र्याकिङ प्रविष्टि र यो साँच्चै जुन इन्टरफेसबाट बाहिरिन्छ त्यो हेर्नुहोस्। समावेश वर्ग र बहिष्कृत वर्ग दुवै परीक्षण गर्नुहोस्, किनकि धेरै फराकिलो मार्कले बहिष्करण तोड्छ तर सफल देखिन्छ। यदि समावेश वर्ग काम गर्छ र बहिष्कृत वर्ग पनि सुरुङमा पस्छ भने मार्क साँघुरो होइन, फराकिलो छ।

जीवित सत्रका बेला रिफ्रेस जबरजस्ती गर्न कनेक्सन अवस्था फ्लस गर्नबाट जोगिनुहोस्, किनकि नयाँ र विद्यमान प्रवाहहरू कानुनतः फरक मार्ग लिन सक्छन्।

मार्क, मास्क र तालिका एकै ठाउँमा अभिलेख गर्नुहोस्, अनि अर्को सम्पादन समीक्षायोग्य हुन्छ।