Eit kjedenamn er ikkje ein krok: iptables mot nftables

Båe brannmurane kan filtrere vidaresend VPN-trafikk, og dei festar reglar til pakkestien på ulike måtar. iptables har innebygde kjeder inne i ei tabell, så FORWARD finst som eit namngitt krokpunkt. nftables skil namnet på ein kjede frå typen, kroken og prioriteten, noko som tyder at ein vanleg kjede kalla FORWARD ikkje filtrerer noko i det heile. Samanlikninga av dei to modellane forklarer kvifor ei oppføring som ser rett ut i eitt verktøy ikkje har noka verknad i det andre.

Ein kjede er ein behaldar. Om kjernen undersøkjer han, kjem an på implementasjonen og på korleis regelsettet festar han.

To modellar, to ulike festemåtar

I iptables kjem filter-tabellen med tre innebygde kjeder, INPUT, FORWARD og OUTPUT, og -N lagar ein brukardefinert kjede som berre verkar når det blir hoppa til han frå ein av dei. nftables-handboka definerer i staden basiskjeder, som erklærer type, krok og prioritet, og vanlege kjeder, som ikkje gjer det. Ein basiskjede kan ha kva namn som helst, og ein vanleg kjede kalla FORWARD får ingen eigenskapar frå etiketten sin. Det er heile skilnaden, og han er usynleg i ei rettleiing som berre viser regeltekst.

Kompatibilitetsbakendar legg til ein annan grunn til ikkje å utleia åtferd frå eit kommandonamn. iptables-dokumentasjonen nemner operasjonar som er ulike under iptables-nft, så handsam innfødde nftables, iptables-nft og eit eldre regelsett som tre system og ikkje som tre stavemåtar av eitt.

Les feilen i den verkelege samanhengen sin

Ein manglande tabell, ein tilgangsfeil, ein utilgjengeleg kjernefunksjon og ein manglande namngitt kjede er fire ulike funn, og berre eitt handlar om kjeden. Noter versjonen av verktøyet, adressefamilien og tabellen som vart beden om, nettverksnamnerommet og den første nøyaktige feilen. Sjekk deretter kva komponent som eig regelsettet: ein brannmurteneste eller ein produktstyrt gateway kan generere sine eigne kjeder og rekkjefølgje. Å leggje til ein innfødd kjede ved sida av dei lèt den styrte policyen vere urørd og oversikta meir forvirrande.

Namnerommet til ein container kan halde eit anna regelsett enn verten, så ein kommando som blir køyrd i feil samanheng kan ikkje vise kva kjede som såg ein vidaresend pakke. Å heve privilegium fordi ein forventa kjede ikkje var synleg, er ikkje ein diagnose.

Teljarar beviser treff, ikkje dom

Regelteljarar fortel deg at ein regel vart nådd. Dei fortel deg ikkje at ein seinare regel tillét operasjonen, og dei beviser ikkje at kvar alternativ sti vart avvist. Les dei under éin ufarleg autorisert flyt, saman med regelrekkjefølgje og kjedeinnfesting, og handsam dei som éi observasjon og ikkje ein dom. Ein teljar ulik null på ein drop-regel tyder at trafikken trefte han; han seier ingenting om trafikk som ikkje trefte han.

IP-vidaresending i kjernen er ei heilt eiga innstilling. At ein kjede finst, slår ikkje på vidaresending, og at ei kjend etikett manglar, tyder ikkje at vidaresendinga stoppa.

Skildre flyten du vil verne

Skriv ned éin klientførespurnad etter dekapsulering: kjelda, målet, adressefamilien og om han endar ved gatewayen eller går gjennom han. Inndata til lokal teneste og vidaresend trafikk blir observert på ulike punkt, så dei treng ulike reglar og ulike testar. For ein brulaga VPN, stadfest òg bruvegen, fordi ein kjede på IP-nivå ikkje overvakar Ethernet-rammer automatisk.

Ta vare på uavhengig attopprettingstilgang før du endrar ein ekstern gateway. Stadfest deretter den tiltenkte flyten og dei nødvendige avvisingane under same regelsett. Ein ny tom kjede med eit kjent namn er ikkje ei reparasjon.

Samanlikninga endar i eitt spørsmål: kva krok kallar kjernen faktisk for denne pakken? Svar på det, og kjedenamnet sluttar å bety noko.