د فایرول قاعدې بدلون کار نه کوي: د قاعدو ترتیب او د اړیکې حالت

تاسو قاعده سمه کړه، د قاعدو ټولګه بیا بار کړه، او تونل په سمه توګه لکه مخکې چلند کوي. دې پایلې دوه عام لاملونه لري، او دوی بېلابېلې ازموینې غواړي. یا نوې قاعده د مخکینۍ قاعدې وروسته ده چې بسته یې دمخه منلې ده، یا هغه تبادله چې تاسو یې ګورئ یوه تعقیب شوې اړیکه ده چې بدلون یې هېڅکله بیا نه ارزوي. په فایل کې قاعده نیت څرګندوي؛ د بستې برخلیک هغه فعاله لاره ټاکي چې ورسره مخامخ کېږي. لاندې کتنې په ترتیب سره ترسره کړئ او په دې مهال د بیرته راستنیدو لاره خلاصه وساتئ.

د قاعدو ترتیب او د اړیکې حالت بېلابېل خرابوالی دي

ترتیب شوې زنځیرې له پورته څخه ښکته ارزول کېږي، او لومړنۍ قاعده چې پای ته رسېدونکې پرېکړې ته ورسیږي، په هغه زنځیر کې تګ پای ته رسوي. یوه پراخه اجازه د په احتیاط لیکل شوې بندیز قاعدې پورته کېږدئ، نو بندیز قاعده یوازې سند ګرځي: دا په ټولګه کې ده، د هغې شمېرګر صفر دی، او هېڅ بسته به هېڅکله ورته ونه رسیږي. هغه هماغه متن چې په بله زنځیر باندې تطبیق شي هېڅ هم ثابتوي. په nftables کې بنسټیزې زنځیرې په لومړیتوبونو کې قلابونو ته نښلول کېږي، نو په یوه زنځیر کې اجازه نه شي کولای بله زنځیر په بل قلاب یا لومړیتوب کې له هماغې بستې لیدلو منع کړي.

د اړیکو تعقیب دوهمه نښه جوړوي، او له باندې یې هماغسې ښکاري. کله چې بهیر د حالت جدول ته ورسي، نو د زنځیر د پورتنۍ برخې ته نږدې established-or-related اجازه ستاسو نوي قاعدې ته له کتلو مخکې بیرته راځي. NAT نقشه اخیستنې هماغه ځانګړنه لري: ژباړه هغه مهال ټاکل شوې وه چې بهیر پیل شو، نو بدل شوې postrouting قاعده هغه غونډه نه بیا لیکي چې مخکې روانه ده. له همدې کبله بدلون د 09:00 په وخت کې د نوې اړیکې لپاره کار کوونکی ښکاري او د 08:55 په وخت کې د چا پرانیستې غونډې لپاره هېڅ نه کوي.

کلاوډ امنیتي ډلې دریم ماډل ورزیاتوي چې هغه خلک نیسي چې په iptables زده کړې ده. د دوی دننه راتلونکې قاعدې یو اجازې لړلیک دی چې د لومړي برابرۍ تګ پرځای د یوې ټولګې په توګه ارزول کېږي، دوی حالت لرونکې دي، او د اجازې قاعدې لرې کول هغه بهیرونه نه بندوي چې مخکې تعقیبیږي. په هغه پلیټفارم کې د لومړي برابرۍ مانا منل چې دا نه لري، ډاډمنو خو غلطو پایلو ته رسوي.

فعاله ټولګه ولولئ، نه هغه فایل چې سمه کړی مو

له هغه څه پیل کړئ چې کرنل اوس تطبیقوي. یوه خوندي شوې ترتیبات چې هېڅکله نه ده تطبیق شوې، د حیرانتیا وړ ډېر نه بدل شوي چلندونه تشریح کوي، او له پامه غورځول یې یوازې یو کمانډ لګښت لري:

nft list ruleset
iptables-save

بیا وپوښتئ چې ایا ستاسو قاعدې ته اصلاً رسیږي. د بستو شمېرګر مستقیم ځواب ورکوي، او د نیت په اړه له هر استدلال څخه ښه ځواب ورکوي:

iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forward

د ریښتیني ازموینې هڅې وروسته د صفر بستو سره بندیز قاعده د تګلارې ستونزه نه ده، دا د موقعیت ستونزه ده. لېږدول یې د یوې کرښې بدلون دی، او نحو هغه څه دي چې اصلي بګ یې رامنځته کړ. په iptables کې -I په پیل کې ورننباسي او -A په پای کې ورزیاتوي؛ په nftables کې insert قاعده د زنځیر په پیل کې ږدي او add په پای کې ورزیاتوي. کله چې یوه قاعده باید وګټي، هغه په څرګنده ووایاست نه دا چې په ناڅاپي ډول بار شوي ترتیب باور وکړئ.

ثابت کړئ چې بهیر تعقیبیږي که نه

له دې مخکې چې قاعده ملامته کړئ، وګورئ چې ټرافیک اصلاً تعقیب شوې اړیکه ده که نه. د ټول حالت جدول تویولو پرځای د ځانګړي بهیر په اړه پوښتنه وکړئ:

conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194

لړلیک حالت او پاتې وخت ښيي، او په همدې توګه تاسو تثبیت شوې غونډه له نوې هڅې جلا کوئ؛ د پېښو حالت تازه معلومات د هغوی د پېښېدو سره سم چاپوي، چې د کاروونکي بیا نښلولو پر مهال ګټور دی. که بهیر ستاسو له لاس وهلو دمخه په تثبیت شوي حالت کې موجود وي، نو د فلټر قاعدو هېڅ سمون به یې برخلیک نه بدلوي. دا د فایرول بګ نه دی، دا د حالت لرونکي فلټر کولو تړون دی.

په تولیدي ګیټوې کې د ټول جدول خالي کولو لنډې لارې سره مقاومت وکړئ. conntrack -F شته، او دا په ماشین کې هر تعقیب شوی بهیر هم له منځه وړي، په شمول هغه مدیریتي غونډه چې تاسو ترې کار کوئ او هغه تونل چې ستاسو شیل وړي. انفرادي ننوتنې هغه مهال ړنګېدای شي چې واقعاً ورته اړتیا ولرئ، خو له نوي سرچینې پورټ څخه نوی بهیر معمولاً پاکه ازموینه ده.

ځینې لارې نه تعقیبیږي، او دوی برعکس چلند کوي. په raw جدول کې notrack په نښه شوی ټرافیک، ځینې تونلونه چې عادي قلابونه پریږدي، او هغه غیر متناسب روټینګ چې بهیر په دوه ګیټوې ترمنځ ووېشي — ټول هغه بستې جوړوي چې یو یو ارزول کېږي، یا هغه حالت چې په دواړو سرونو کې هېڅکله نه جوړیږي. که شمېرګر د هرې بستې لپاره حرکت وکړي، نو له ترتیب څخه دمخه دې ډول لارې ته شک وکړئ.

د بیرته راستنیدو لارې سره له نوي بهیر څخه ازموینه وکړئ

له دې مخکې چې هغه قاعده وازموئ چې لرې لاسرسی پرې کولای شي، د بیا رغولو لاره جوړه کړئ: د چمتو کوونکي کنسول، سیریل کنسول، له باندې بهر د مدیریت پته، یا دوهم انټرفیس چې قاعده ورسره نه شي برابرېدلای. د بیرته ګرځولو ټایمر مناسبه ملګرې ده، ځکه چې که ستاسو غونډه د ازموینې په منځ کې مړه شي هم پخوانۍ ټولګه بیا رغوي.

بیا د هغې تبادلې سره ازموینه وکړئ چې حالت مخکې نه شوای پوښلای. کاروونکی ونښلوئ او بیا وګړئ ترڅو نوی پنځه توکی جوړ شي، او د دې پېښېدو پر مهال دواړه سرونه وګورئ:

tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pager

ازموینه په دواړو لورو ترسره کړئ. هغه قاعده چې نوې داخلي لاسکښل بندوي کولای شي د ځواب لاره لا هم اجازه کړي، یا برعکس، او یو اړخیزه پایله هغه معمول لامل دی چې بندیز نیمګړی کار کوي. له ازموینې وروسته یو ځل بیا ونښلوئ ترڅو ثابت حالت تایید کړئ، او وګورئ چې قانوني مدیریتي لاسرسی ژوندی پاتې شوی؛ یوه قاعده چې د یو پورټ لپاره لیکل شوې ده د نیت څخه پراخه حد سره برابرېدلو عادت لري.

د قاعدې سره هدف او موقعیت ثبت کړئ

بې ثبت شوي هدف سره قاعده هغه قاعده ده چې هیڅوک یې لرې کولو زړه نه کوي. د هرې بندیز ننوتنې ترڅنګ هغه بهیر وساتئ چې دا یې ساتنه کوي، هغه زنځیر او قلاب چې پکې ژوند کوي، هغه موقعیت چې باید پراخو اجازو په وړاندې یې وساتي، او هغه ازموینه چې دا یې ثابته کړه. کله چې شپږ میاشتې وروسته څوک شاوخوا ټولګه سمه کړي، هغه یادښت به یوازینۍ خبرداری وي چې موقعیت په قصد و.

له دې مخکې چې بدلون بند کړئ، څلور شیان تایید کړئ: روانه ټولګه له فایل سره سمون لري، نوي قاعدې د نوې هڅې وروسته د صفر نه توپیر لرونکي شمېرګر لري، مخالف لوری او مدیریتي لاسرسی لا هم کار کوي، او تاسو یو ځل بیا نښلېدلي یاست ترڅو ثابت حالت ثابت کړئ نه د بدلون څخه پخوانۍ غونډې حالت. که له دې څخه څه ناتایید شوي وي، تونل هر څه وکړي، بدلون نه دی بشپړ شوی.