nftables: د VPN اجازې قاعده د drop دستګاه مخکې دننه کړئ

د اجازې قاعده په ناسم ځای کې کېږدئ، نو داسې چلند کوي لکه قاعده چې نه وي۔ په nftables کې د insert او add ترمنځ ټاکنه هغه خوا ټاکي چې نوی بیان به د یادې قاعدې کومې خوا ته کېني، او دستګاه قاعده په ژوندۍ قواعدو ټولګه کې نوموي، نه د هغې د کرښې شمېره۔ که ځای ناسم وي، کڅوړه لومړی drop ته رسېږي۔

لاندې پرتله یو ثابت همکار او یوه بهرنۍ اورېدونکې تبادله کاروي۔ دا په قصد نرۍ ده؛ ټوله زنځیر بدلول بېل بدلون دی چې بېل خطر پروفایل لري۔

دوه ځایونه، دوه بېلې پایلې

insert قاعده د یادې قاعدې مخکې ږدي۔ add هغه وروسته ږدي۔ که یادې قاعده د بهیر لپاره وروستی drop وي، دا دوه فرمانونه سره مخالفې پایلې ورکوي، که څه هم د قاعدې متن یو شان دی۔

د ځای پرېښودل خپل ډیفالټ چلند لري، چې یو بل لامل دی چې له فورمې څخه فرمان کاپي نه کړئ پرته له لوستلو چې هغه څه ته تړل شوی دی۔ تړون ټوله پرېکړه ده۔ د فرمان لیکلو دمخه غوښتل شوې خوا ولیکئ۔ په فایل کې insert او add یوې کلمې توپیر لري۔

ځای د یوې ځانګړې زنځیر په قاعده کې نسبت لري۔ هماغه بیان بل زنځیر یا بل hook لومړیتوب ته لېږدول بدلوي چې کومې کڅوړې ویني، حتی کله چې د قاعدې نحو سم ښکاري۔

دستګاه قاعده پېژني، نه د کرښې شمېره

د 42 په څېر دستګاه په اوسني قواعدو ټولګه حالت کې یو پېژندونکی دی۔ دا دوه څلوېښتمه قاعده نه ده، او د کوربه وګانو، بیا رغونو یا د خپل ترتیباتو بیا بارولو مدیر ترمنځ ثابته نه ده۔

د تړون له ټاکلو دمخه زنځیر او ریښتینی وروستی drop ومومئ۔ بیا په هماغه لیست کې چې drop ښیي پر هغې قاعدې دستګاه تایید کړئ، ترڅو شمېره او قاعده یوځای ولوستل شي۔ له زاړه لیست څخه لوستل شوې دستګاه کېدای شي لا دمخه بلې قاعدې وي۔ په هغه غونډه کې یې بیا ولولئ چې بدلون به پلي کوي۔

iptables --version
nft -a list ruleset

د iptables نسخه ښیي چې کوم backend کارېږي۔ د iptables-nft قواعدو ټولګه او په خپلواکه توګه مدیریت شوې اصلي جدول کېدای شي یوځای وي، نو د یوې frontend لیست په اتوماتيک ډول بشپړ فلټر انځور نه دی۔ د زنځیر له ټاکلو دمخه دواړه لیدونه وګورئ۔

هغه زنځیر او قاعده ومومئ چې واقعاً drop کوي

input hook، د زنځیر لومړیتوب او هغه قاعده ولولئ چې دا د اورېدونکي بهیر ردوي۔ inet جدول کېدای شي دواړه پته کورنۍ ولري، خو یوه قاعده لا هم یوازې IPv4 سره سمون خوري۔

یو منظور شوی همکار واخلئ، او د بېلګې په توګه د اسنادو له ساحې څخه 198.51.100.25 وکاروئ۔ کتل شوی اصلي فایل کېدای شي د 42 دستګاه مخکې بهرنۍ اجازه کېږدي:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

له کتنې وروسته کورنۍ، جدول، زنځیر، دستګاه، د ننوتلو انټرفېس او همکار بدل کړئ۔ بېلګه د nft 1.0.9 لپاره مستنده دستګاه-ځای بڼه کاروي، او هغه د input فایل پورې اړه لري؛ د قوسونو نقل کول جلا موضوع ده کله چې فرمان په تعاملي ډول لیکل کېږي۔

د ترتیباتو مالک روښانه وساتئ۔ هغه مدیر چې خپل قواعد بیا جوړوي کېدای شي د چلېدو پر مهال بدلون باندې ولیکي، او هغه بوټ سکریپټ چې زړه دستګاه کلک کوډ کوي یا به ناکام شي یا به ناسمې قاعدې ته ونیسي۔

اجازه محدوده ده، drop پایلي ده

د اجازې حکم په خپله اوسنۍ لاره کې ارزونه پای ته رسوي، خو وروسته پلي کېدونکې بنسټیزه زنځیر لا هم کڅوړه drop کولی شي۔ د drop حکم پایلی دی۔ له همدې امله زیاتېدونکی د اجازو شمېر د بهیر بریا ثبوت نه دی۔

د یو زنځیر په جلا توګه کتلو پرځای ټول اړوند hook لومړیتوبونه وګورئ۔ کڅوړه کولی شي input فلټر تېر کړي او بیا هم د بل جدول hook لخوا په بل لومړیتوب کې رد شي۔ هره بنسټیزه زنځیر چې بهیر ویني لیست کړئ۔

هغه قاعده یوازې بهرنۍ اورېدونکې تبادله پوښي۔ د ترانسپورت انکپسول شوی ESP، اصلي ESP، IPv6 همکاران او د تونل دننه ډیکریپټ شوی ترافیک ټولو خپلې پالیسۍ غواړي۔ دا د سایټ VPN بشپړ فایر وال نه دی۔

فایل وګورئ، بیا ژوندۍ پایله تایید کړئ

له پلي کولو دمخه په کتل شوي فایل باندې د نحو او راکړې ورکړې کتنه چل کړئ۔ د کتنې حالت ښیي چې nft کولی شي بدلون تجزیه او چمتو کړي؛ هغه یې نه پلي کوي او نه ثبوتوي چې بل hook به کڅوړې ته اجازه ورکړي۔ فایل تر هغو وړاندیز پاتې کېږي چې مالک یې پلي کړي:

nft -c -f reviewed-vpn-rule.nft

د مالک د کنټرول شوې پروسې له لارې پلي کړئ او د بیا راګرځېدو لاسرسی وساتئ۔ که قاعده ناسمه وي، هغه drop چې تاسو یې مخکې تېرېدل غوښتل کېدای شي هغه لاره هم پرې کړي چې د سمون لپاره یې کاروئ۔

له بدلون وروسته نوې منظوره همکار هڅه وګورئ او وګورئ چې له منظوره همکار بهر سرچینې لا هم ردېږي۔ دوامداره قاعده هغه مدیر ته ولېږدئ چې د قواعدو ټولګه لري، ځکه د چلېدو پر مهال دستګاوې اوسني شیان مومي، نه یې د بوټونو ترمنځ پېژني۔