د VPN انټرفېس راتلو پر مهال nftables پالیسي ثابته وساتئ

ټنلونه لنډمهاله دي؛ پالیسي باید داسې نه وي۔ د Linux په ګېټوې کې د nftables هغه قاعده چې د ټنل انټرفېس د نوم له مخې سره سمون خوري، یو ځل بارول کېدای شي او هر ځل چې هغه انټرفېس ښکاره شي، پلي کېږي۔ انټرفېس لا هم د ژوند دوره لري: جوړېږي، ورکېږي، او د هغې شاوخوا لارې او ژباړې خپل مهال ویش تعقیبوي۔ همدا مالکان جلا کول دي چې د بیا نښلولو پر مهال لاسرسی ثابت ساتي۔

د نوم سمون له انټرفېس څخه اوږد ژوند کوي

nftables د انټرفېس د شاخص عددي سمونونه او د نوم متحرک سمونونه iifname او oifname وړاندې کوي۔ هغه قواعد چې دا نومونه کاروي، حتی کله چې د ټنل وسیله لا نه وي جوړه شوې، په پاکه توګه بارېږي، چې دا هغه څه دي چې د پیل پر مهال د قواعدو ټولګې ته ورته اړتیا وي۔ که انټرفېس نوم بدل شي سمون بندېږي او کله چې نوی انټرفېس هغه نوم واخلي بیا پیلېږي۔ عددي شاخص دا ځانګړنه نه لري، نو ځکه د ټنل لپاره د نوم بڼه معموله غوره توب ده۔

نوم د سمون کلي دی، نه د دې ثبوت چې بل لوري ته څوک دی۔ د سیال تصدیق د VPN کار پاتې کېږي۔

له قواعدو څخه مخکې زنځیر ولولئ

وګورئ چې د قواعدو ټولګه اوس څه لري او نوې قاعده به چېرته ځای ونیسي، ځکه چې ترتیب پایله ټاکي۔

nft list ruleset
nft -c -f /etc/nftables.conf

لیست زنځیرونه، قواعد او لاستي ښيي، او د کتنې حالت یو نوماند فایل پرته له بارولو اعتبار کوي۔ یوازې د ټنل لپاره اجازه چې د هماغه بهیر لپاره د مخکیني منلو وروسته ایښودل شي، هېڅ نه بدلوي، ځکه چې لومړی سمون خوړونکی قاعده ګټي۔ نو ځکه ناوخته راغلې قاعده سمه ښکارېدای شي او هېڅ اغېزه ونه لري۔ زنځیر په ترتیب ولولئ او تایید کړئ چې له کليېنټ څخه پورته اړوندې اړیکې ته د ترافیک بندیز لا هم له هر څه پراخ مخکې دی۔

لارې، ژباړه او بهیرونه نور مالکان لري

د انټرفېس شتون هېڅ لاره نه جوړوي او سیال تصدیق نه کوي۔ هغه د VPN مدیر پورې اړه لري، پداسې حال کې چې ژباړه دریمه ژوند دوره لري۔

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

د conntrack لیست موجوده بهیرونه د هغوی له اصلي او ژباړل شوو ارزښتونو سره ښيي، او د لارو لیست ښيي چې مدیر د انټرفېس لپاره څه نصب کړل۔ د NAT قواعد د لومړي پاکېټ پر مهال د اړیکې تعقیب حالت جوړوي، نو یو تاسیس شوی بهیر خپله ژباړه حتی د قاعدې له بدلون وروسته هم ساتي۔ نو ځکه د یوې قاعدې تازه کېدل او د نوي لارې کارول دوه بېلې څرګندونې دي۔ پریکړه وکړئ چې کومې ناستې باید بیا ونښلول شي او نااړوند بهیرونه پر ځای پرېږدئ۔

سوړ پیل، زیان او بیا رغونه ومنئ

ګېټوې د پیل پر مهال د ټنل پرته، بیا د هغه سره، او بیا له پرېکېدو او بیرته راتلو وروسته وازموئ۔ تایید کړئ چې د ټنل د نه شتون پر مهال بند شوی لېږد بند پاتې کېږي، د سیال له تصدیق وروسته نوی اجازه شوی بهیر کار کوي، او بیا رغونه نااړوند حالت خالي کول نه غواړي۔ د یو پروفایل د بندولو عمل په توګه ټول POSTROUTING زنځیر یا هره conntrack ننوتنه مه ړنګوئ، ځکه نور خدمتونه یې شریکوي۔ ولیکئ چې کومه برخه انټرفېس، لاره او پالیسي بدله کړه، نه یوازې دا چې پیل هک له صفر سره ووت۔

هغه پالیسي چې بیا نښلون ته دوام ورکوي، هغه ده چې مالکان یې نومول شوي او قواعد یې د ټنل دواړه بند او پرانیستي حالت کې ازمویل شوي۔ هغه هک چې بریا خبروي یوازې دا ثابتوي چې هک چلی دی۔