د زنځیر نوم هک نه دی: iptables د nftables په وړاندې

دواړه فایر والونه کولی شي لېږدول شوي VPN ترافیک فلټر کړي، او دوی قواعد د پاکټ لارې سره په بېلو لارو نښلوي. iptables په یوه جدول کې دننه جوړ شوي زنځیرونه لري، نو FORWARD د یو نوم لرونکي هک نقطې په توګه شتون لري. nftables د زنځیر نوم له خپل ډول، هک او لومړیتوب څخه بېلوي، چې مانا یې دا ده چې FORWARD په نوم یو عادي زنځیر هېڅ شی نه فلټروي. د دواړو ماډلونو پرتله روښانه کوي چې ولې په یوه وسیله کې سم ښکاره کېدونکې ننوتنه په بله کې هېڅ اغېزه نه لري.

زنځیر یو لوښی دی. چې کرنل ورته ګوري که نه، دا د پلي کېدو او د دې پورې اړه لري چې د قواعدو ټولګه یې څنګه نښلوي.

دوه ماډلونه، دوه بېلې نښلونې

په iptables کې filter جدول درې جوړ شوي زنځیرونه لري، INPUT، FORWARD او OUTPUT، او -N د کارونکي لخوا ټاکل شوی زنځیر جوړوي چې یوازې هغه وخت اغېزمن کېږي چې له یوه یې د هغه پر لور ورخېز وشي. د nftables لارښود پرځای بنسټیز زنځیرونه تعریفوي چې خپل ډول، هک او لومړیتوب اعلانوي، او عادي زنځیرونه چې داسې نه کوي. بنسټیز زنځیر کولی شي هر نوم ولري، او FORWARD په نوم عادي زنځیر له خپل لیبل څخه هېڅ ځانګړنه نه ترلاسه کوي. دا ټول توپیر دی، او په هغه لارښود کې نه ښکاري چې یوازې د قاعدې متن ښیي.

د مطابقت بیکنډونه دوهم لامل زیاتوي چې له کمانډ نوم څخه چلند ونه اټکل شي. د iptables اسناد هغه عملیات یادوي چې د iptables-nft لاندې توپیر لري، نو اصلي nftables، iptables-nft او زوړ د قواعدو ټولګه د یو شي درې لیکنو نه، بلکې د درې سیسټمونو په توګه وګورئ.

تېروتنه په خپل ریښتیني شرایطو کې ولولئ

نیمګړې جدول، د اجازې ناکامي، نه شته کرنلي اسانتیا او نیمګړی نوم لرونکی زنځیر څلور بېل موندنې دي، او یوازې یوه یې د زنځیر په اړه ده. د وسیلې نسخه، غوښتل شوې پته کورنۍ او جدول، د شبکې نوم تشه او لومړنی دقیق خطا ولیکئ. بیا وګورئ چې د قواعدو ټولګه د کوم برخې ده: د فایر وال خدمت یا د محصول لخوا مدیریت شوی ګېټوې کولی شي خپل زنځیرونه او ترتیب جوړ کړي. د دوی ترڅنګ اصلي زنځیر زیاتول مدیریت شوې تګلاره نه لمس کوي او لیست لا ډېر ګډوډوي.

د کنټینر نوم تشه کولی شي له کوربه توپیر لرونکې د قواعدو ټولګه ولري، نو په غلط شرایطو کې چلول شوی کمانډ نشي ښودلی چې کوم زنځیر لېږدول شوی پاکټ ولید. د دې لپاره چې تمه شوی زنځیر نه ښکارېده، واکونه لوړول تشخیص نه دی.

شمېرونکي رسېدل ثابتوي، نه پرېکړه

د قاعدې شمېرونکي درته وایي چې یوې قاعدې ته رسېدل شوي. دوی نه وایي چې وروسته قاعدې عملیات ته اجازه ورکړه، او نه ثابتوي چې هر بدیله لار رد شوې. دوی د یوې بې زیانه اجازه لرونکې بهیر په جریان کې، د قاعدو ترتیب او د زنځیر نښلونې سره یوځای ولولئ، او د پرېکړې نه، بلکې د یوې کتنې په توګه وګورئ. په drop قاعده کې غیر صفر شمېرونکی مانا دا ده چې ترافیک ورباندې ولګېد؛ د هغه ترافیک په اړه چې نه دی لګېدلی هېڅ نه وایي.

د کرنل IP لېږدول په بشپړه توګه جلا تنظیم دی. د زنځیر شتون لېږدول نه فعالوي، او د پېژندل شوي لیبل نه شتون مانا نه ده چې لېږدول ودرېدل.

هغه بهیر بیان کړئ چې غواړئ یې وساتئ

له ډيکپسولېشن وروسته یوه کړنه ولیکئ: د هغې سرچینه، منزل، پته کورنۍ، او دا چې په ګېټوې کې پای ته رسېږي که ترې تېرېږي. د ځایي خدمت ننوتل او لېږدول شوی ترافیک په بېلو نقطو کې کتل کېږي، نو دوی بېلو قاعدو او بېلو ازموینو ته اړتیا لري. د پله لرونکي VPN لپاره د پل لاره هم وګورئ، ځکه چې د IP کچې زنځیر Ethernet چوکاټونه په اتوماتيک ډول نه کنټرولوي.

د لرې ګېټوې د بدلولو مخکې خپلواکه د بیا رغونې لاسرسی وساتئ. بیا د هماغې قواعدو ټولګې لاندې پلان شوی بهیر او اړین ردونه تایید کړئ. د پېژندل شوي نوم نوی خالي زنځیر ترمیم نه دی.

پرتله په یوه پوښتنه پای ته رسېږي: کرنل د دې پاکټ لپاره واقعاً کوم هک غواړي؟ هغې ته ځواب ورکړئ، او د زنځیر نوم نور اهمیت نه لري.