VPN ਇੰਟਰਫ਼ੇਸ ਆਉਂਦਿਆਂ nftables ਨੀਤੀ ਸਥਿਰ ਰੱਖੋ

ਟਨਲ ਥੋੜ੍ਹੇ ਚਿਰ ਦੇ ਹੁੰਦੇ ਹਨ; ਨੀਤੀ ਅਜਿਹੀ ਨਹੀਂ ਹੋਣੀ ਚਾਹੀਦੀ। Linux ਗੇਟਵੇ 'ਤੇ ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਨੂੰ ਨਾਮ ਨਾਲ ਮੇਲਣ ਵਾਲਾ nftables ਨਿਯਮ ਇੱਕ ਵਾਰ ਲੋਡ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਉਹ ਇੰਟਰਫ਼ੇਸ ਹਰ ਵਾਰ ਆਉਣ 'ਤੇ ਲਾਗੂ ਰਹਿੰਦਾ ਹੈ। ਇੰਟਰਫ਼ੇਸ ਦਾ ਫਿਰ ਵੀ ਜੀਵਨ-ਚੱਕਰ ਹੈ: ਇਹ ਬਣਦਾ ਹੈ, ਚਲਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇਸ ਦੁਆਲੇ ਦੇ ਰੂਟ ਤੇ ਅਨੁਵਾਦ ਆਪਣਾ ਵੱਖਰਾ ਸਮਾਂ-ਸਾਰਣੀ ਮੰਨਦੇ ਹਨ। ਇਨ੍ਹਾਂ ਮਾਲਕਾਂ ਨੂੰ ਵੱਖ ਕਰਨਾ ਹੀ ਦੁਬਾਰਾ ਜੁੜਨ ਵੇਲੇ ਪਹੁੰਚ ਸਥਿਰ ਰੱਖਦਾ ਹੈ।

ਨਾਮ ਦੀ ਮੇਲ ਇੰਟਰਫ਼ੇਸ ਤੋਂ ਵੱਧ ਚਿਰ ਰਹਿੰਦੀ ਹੈ

nftables ਸੰਖਿਆਤਮਕ ਇੰਟਰਫ਼ੇਸ-ਸੂਚਕਾਂਕ ਮੇਲ ਅਤੇ ਗਤੀਸ਼ੀਲ ਨਾਮ-ਮੇਲ iifname ਤੇ oifname ਦਿੰਦਾ ਹੈ। ਇਹ ਨਾਮ ਵਰਤਣ ਵਾਲੇ ਨਿਯਮ ਟਨਲ ਡਿਵਾਈਸ ਦੇ ਅਜੇ ਬਣੇ ਬਿਨਾਂ ਵੀ ਸਾਫ਼ ਲੋਡ ਹੁੰਦੇ ਹਨ, ਜੋ ਬੂਟ ਵੇਲੇ ਨਿਯਮ-ਸਮੂਹ ਨੂੰ ਬਿਲਕੁਲ ਇਹੀ ਚਾਹੀਦਾ ਹੈ। ਇੰਟਰਫ਼ੇਸ ਦਾ ਨਾਮ ਬਦਲਣ 'ਤੇ ਮੇਲ ਰੁਕ ਜਾਂਦੀ ਹੈ ਅਤੇ ਨਵਾਂ ਇੰਟਰਫ਼ੇਸ ਉਹ ਨਾਮ ਲੈਣ 'ਤੇ ਫਿਰ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ। ਸੰਖਿਆਤਮਕ ਸੂਚਕਾਂਕ ਵਿੱਚ ਇਹ ਗੁਣ ਨਹੀਂ, ਇਸ ਲਈ ਟਨਲ ਲਈ ਨਾਮ ਵਾਲਾ ਰੂਪ ਆਮ ਚੋਣ ਹੈ।

ਨਾਮ ਮੇਲ ਦੀ ਕੁੰਜੀ ਹੈ, ਇਹ ਸਬੂਤ ਨਹੀਂ ਕਿ ਦੂਜੇ ਸਿਰੇ 'ਤੇ ਕੌਣ ਹੈ। ਸਾਥੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ VPN ਦਾ ਕੰਮ ਹੀ ਰਹਿੰਦਾ ਹੈ।

ਨਿਯਮ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਲੜੀ ਪੜ੍ਹੋ

ਦੇਖੋ ਨਿਯਮ-ਸਮੂਹ ਵਿੱਚ ਹੁਣ ਕੀ ਹੈ ਅਤੇ ਨਵਾਂ ਨਿਯਮ ਕਿੱਥੇ ਬੈਠੇਗਾ, ਕਿਉਂਕਿ ਕ੍ਰਮ ਹੀ ਨਤੀਜਾ ਤੈਅ ਕਰਦਾ ਹੈ।

nft list ruleset
nft -c -f /etc/nftables.conf

ਸੂਚੀ ਲੜੀਆਂ, ਨਿਯਮ ਤੇ ਹੈਂਡਲ ਦਿਖਾਉਂਦੀ ਹੈ, ਅਤੇ ਜਾਂਚ ਢੰਗ ਉਮੀਦਵਾਰ ਫ਼ਾਈਲ ਨੂੰ ਲੋਡ ਕੀਤੇ ਬਿਨਾਂ ਮਨਜ਼ੂਰ ਠਹਿਰਾਉਂਦਾ ਹੈ। ਉਸੇ ਪ੍ਰਵਾਹ ਲਈ ਪਹਿਲਾਂ ਦੀ ਮਨਜ਼ੂਰੀ ਤੋਂ ਬਾਅਦ ਰੱਖੀ ਸਿਰਫ਼-ਟਨਲ ਇਜਾਜ਼ਤ ਕੁਝ ਨਹੀਂ ਬਦਲਦੀ, ਕਿਉਂਕਿ ਪਹਿਲਾ ਮਿਲਦਾ ਨਿਯਮ ਹੀ ਜਿੱਤਦਾ ਹੈ। ਇਸ ਲਈ ਦੇਰ ਨਾਲ ਆਇਆ ਨਿਯਮ ਸਹੀ ਦਿਸ ਸਕਦਾ ਹੈ ਪਰ ਕੋਈ ਅਸਰ ਨਹੀਂ ਹੁੰਦਾ। ਲੜੀ ਕ੍ਰਮ ਵਿੱਚ ਪੜ੍ਹੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਲਾਇੰਟ ਤੋਂ ਅੱਪਲਿੰਕ ਵੱਲ ਜਾਣ ਵਾਲੇ ਟ੍ਰੈਫ਼ਿਕ ਦੀ ਮਨਾਹੀ ਅਜੇ ਵੀ ਕਿਸੇ ਵੀ ਵਿਆਪਕ ਚੀਜ਼ ਤੋਂ ਪਹਿਲਾਂ ਆਉਂਦੀ ਹੈ।

ਰੂਟ, ਅਨੁਵਾਦ ਅਤੇ ਪ੍ਰਵਾਹ ਦੇ ਹੋਰ ਮਾਲਕ ਹਨ

ਇੰਟਰਫ਼ੇਸ ਦੀ ਹਾਜ਼ਰੀ ਕੋਈ ਰੂਟ ਨਹੀਂ ਬਣਾਉਂਦੀ ਅਤੇ ਸਾਥੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਕਰਦੀ। ਉਹ VPN ਪ੍ਰਬੰਧਕ ਦੇ ਹਨ, ਜਦਕਿ ਅਨੁਵਾਦ ਦਾ ਤੀਜਾ ਜੀਵਨ-ਚੱਕਰ ਹੈ।

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

conntrack ਸੂਚੀ ਮੌਜੂਦਾ ਪ੍ਰਵਾਹਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੇ ਮੂਲ ਤੇ ਅਨੁਵਾਦਿਤ ਮੁੱਲਾਂ ਨਾਲ ਦਿਖਾਉਂਦੀ ਹੈ, ਅਤੇ ਰੂਟ ਸੂਚੀ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਪ੍ਰਬੰਧਕ ਨੇ ਇੰਟਰਫ਼ੇਸ ਲਈ ਕੀ ਸਥਾਪਿਤ ਕੀਤਾ। NAT ਨਿਯਮ ਪਹਿਲੇ ਪੈਕਟ 'ਤੇ ਹੀ ਕਨੈਕਸ਼ਨ-ਟ੍ਰੈਕਿੰਗ ਸਥਿਤੀ ਬਣਾ ਦਿੰਦੇ ਹਨ, ਇਸ ਲਈ ਸਥਾਪਿਤ ਪ੍ਰਵਾਹ ਨਿਯਮ ਬਦਲਣ ਤੋਂ ਬਾਅਦ ਵੀ ਆਪਣਾ ਅਨੁਵਾਦ ਬਣਾਈ ਰੱਖਦਾ ਹੈ। ਇਸ ਲਈ ਨਿਯਮ ਦਾ ਅੱਪਡੇਟ ਹੋਣਾ ਅਤੇ ਨਵੇਂ ਰਾਹ ਨੂੰ ਵਰਤਣ ਵਾਲਾ ਪ੍ਰਵਾਹ ਦੋ ਵੱਖਰੇ ਬਿਆਨ ਹਨ। ਤੈਅ ਕਰੋ ਕਿ ਕਿਹੜੇ ਸੈਸ਼ਨ ਦੁਬਾਰਾ ਜੁੜਨ, ਅਤੇ ਗੈਰ-ਸੰਬੰਧਿਤ ਪ੍ਰਵਾਹਾਂ ਨੂੰ ਛੱਡ ਦਿਓ।

ਠੰਢੀ ਸ਼ੁਰੂਆਤ, ਨੁਕਸਾਨ ਅਤੇ ਬਹਾਲੀ ਸਵੀਕਾਰੋ

ਬੂਟ ਵੇਲੇ ਟਨਲ ਗੈਰਹਾਜ਼ਰ, ਫਿਰ ਹਾਜ਼ਰ, ਅਤੇ ਫਿਰ ਰੁਕਾਵਟ ਤੇ ਵਾਪਸੀ ਤੋਂ ਬਾਅਦ ਗੇਟਵੇ ਜਾਂਚੋ। ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਟਨਲ ਨਾ ਹੋਣ ਵੇਲੇ ਵਰਜਿਤ ਫਾਰਵਰਡਿੰਗ ਵਰਜਿਤ ਹੀ ਰਹਿੰਦੀ ਹੈ, ਸਾਥੀ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਾਅਦ ਨਵਾਂ ਮਨਜ਼ੂਰ ਪ੍ਰਵਾਹ ਚੱਲਦਾ ਹੈ, ਅਤੇ ਬਹਾਲੀ ਲਈ ਗੈਰ-ਸੰਬੰਧਿਤ ਸਥਿਤੀ ਖਾਲੀ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਪੈਂਦੀ। ਇੱਕ ਪਰੋਫ਼ਾਈਲ ਦੀ ਰੋਕ ਕਿਰਿਆ ਵਜੋਂ ਪੂਰੀ POSTROUTING ਲੜੀ ਜਾਂ ਹਰ conntrack ਐਂਟਰੀ ਮਿਟਾਓ ਨਾ, ਕਿਉਂਕਿ ਹੋਰ ਸੇਵਾਵਾਂ ਉਨ੍ਹਾਂ ਨੂੰ ਸਾਂਝਾ ਕਰਦੀਆਂ ਹਨ। ਲਿਖੋ ਕਿ ਕਿਹੜੇ ਹਿੱਸੇ ਨੇ ਇੰਟਰਫ਼ੇਸ, ਰੂਟ ਤੇ ਨੀਤੀ ਬਦਲੀ, ਸਿਰਫ਼ ਇਹ ਨਹੀਂ ਕਿ ਸਟਾਰਟ ਹੁੱਕ ਸਿਫ਼ਰ ਨਾਲ ਨਿਕਲਿਆ।

ਦੁਬਾਰਾ ਜੁੜਨ ਵਿੱਚ ਟਿਕਣ ਵਾਲੀ ਨੀਤੀ ਉਹੀ ਹੈ ਜਿਸ ਦੇ ਮਾਲਕ ਨਾਮਿਤ ਹਨ ਅਤੇ ਜਿਸ ਦੇ ਨਿਯਮ ਟਨਲ ਬੰਦ ਤੇ ਚਾਲੂ ਦੋਵੇਂ ਹਾਲਤਾਂ ਵਿੱਚ ਜਾਂਚੇ ਗਏ ਹਨ। ਸਫਲਤਾ ਦੱਸਣ ਵਾਲਾ ਹੁੱਕ ਸਿਰਫ਼ ਇਹ ਸਿੱਧ ਕਰਦਾ ਹੈ ਕਿ ਹੁੱਕ ਚੱਲਿਆ।