nftables: drop හස්තයට පෙර VPN අවසර රීතිය ඇතුළත් කරන්න

අවසර රීතියක් වැරදි තැනක තැබුවොත් එය රීතියක් නොමැති ලෙස හැසිරේ. nftables හි insert සහ add අතර තේරීම නව ප්‍රකාශය සඳහන් රීතියේ කුමන පැත්තට වැටේද යන්න තීරණය කරයි, සහ හස්තය ජීවමාන රීති කට්ටලයේ රීතිය නම් කරයි, එහි පේළි අංකය නොවේ. ස්ථානය වැරදි නම් පැකට්ටුව මුලින්ම drop වෙත ළඟා වේ.

පහත සංසන්දනය ස්ථිර සහකරුවෙකු සහ එක් බාහිර ශ්‍රාවක හුවමාරුවක් භාවිතා කරයි. එය හිතාමතාම පටුය; මුළු දාමයම ප්‍රතිස්ථාපනය කිරීම වෙනස් අවදානම් පැතිකඩක් සහිත තවත් වෙනසකි.

ස්ථාන දෙකක්, වෙනස් ප්‍රතිඵල දෙකක්

insert සඳහන් රීතියට පෙර රීතියක් තබයි. add එය පසුව තබයි. සඳහන් රීතිය ප්‍රවාහය සඳහා අවසාන drop නම්, රීති පෙළ සමාන වුවද එම අණ දෙක ප්‍රතිවිරුද්ධ ප්‍රතිඵල ලබා දෙයි.

ස්ථානයක් ඉවත් කිරීමට තමන්ගේම පෙරනිමි හැසිරීමක් ඇත, එය රීතිය කුමකට සවි කර ඇත්දැයි නොකියවා සංසදයකින් අණක් පිටපත් නොකළ යුතු තවත් හේතුවකි. නැංගුරම සම්පූර්ණ තීරණයයි. අණ ලිවීමට පෙර අපේක්ෂිත පැත්ත ලියන්න. ගොනුවේ insert සහ add එක් වචනයකින් වෙනස් වේ.

ස්ථානය නිශ්චිත දාමයක රීතියකට සාපේක්ෂ වේ. එම ප්‍රකාශයම තවත් දාමයකට හෝ තවත් hook ප්‍රමුඛතාවකට ගෙන ගියහොත් එය කුමන පැකට්ටු දකින්නේද යන්න වෙනස් වේ, රීතියේ වාක්‍ය ව්‍යූහය නිවැරදි ලෙස පෙනුනද.

හස්තය රීතියක් හඳුනා ගනී, පේළි අංකයක් නොවේ

42 වැනි හස්තයක් වර්තමාන රීති කට්ටල තත්ත්වයේ හඳුනාගැනීමකි. එය හතළිස් දෙවැනි රීතිය නොවේ, සහ සත්කාරක, නැවත ගොඩනැගීම් හෝ තම සැකසුම නැවත පූරණය කරන කළමනාකරු අතර එය ස්ථාවර නොවේ.

නැංගුරම තෝරාගැනීමට පෙර දාමය සහ සැබෑ අවසාන drop සොයන්න. පසුව drop පෙන්වන එම ලැයිස්තුවේම එම රීතියේ හස්තය තහවුරු කරන්න, එවිට අංකය සහ රීතිය එකට කියවේ. පැරණි ලැයිස්තුවකින් කියවූ හස්තයක් දැනටමත් වෙනත් රීතියකට අයත් විය හැක. වෙනස යොදන සැසියේ එය නැවත කියවන්න.

iptables --version
nft -a list ruleset

iptables අනුවාදය කුමන backend භාවිතා වේද යන්න වාර්තා කරයි. iptables-nft රීති කට්ටලයක් සහ ස්වාධීනව කළමනාකරණය වන දේශීය වගුවක් එකට පැවතිය හැක, එබැවින් එක් frontend එකක ලැයිස්තුවක් ස්වයංක්‍රීයව සම්පූර්ණ පෙරහන් රූපය නොවේ. දාමයක් තෝරාගැනීමට පෙර දර්ශන දෙකම පරීක්ෂා කරන්න.

සැබවින්ම drop කරන දාමය සහ රීතිය සොයන්න

input hook, දාමයේ ප්‍රමුඛතාව සහ මෙම ශ්‍රාවක ප්‍රවාහය ප්‍රතික්ෂේප කරන රීතිය කියවන්න. inet වගුවකට ලිපින පවුල් දෙකම දැරිය හැක, නමුත් තනි රීතියක් තවමත් IPv4 සමඟ පමණක් ගැළපිය හැක.

එක් අනුමත සහකරුවෙකු ගන්න, උදාහරණයක් ලෙස ලේඛන පරාසයේ 198.51.100.25 භාවිතා කරමින්. සමාලෝචිත දේශීය ගොනුවකට 42 හස්තයට පෙර බාහිර අවසරයක් තැබිය හැක:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

පරීක්ෂාවෙන් පසු පවුල, වගුව, දාමය, හස්තය, ආගමන අතුරුමුහුණත සහ සහකරුවා වෙනස් කරන්න. උදාහරණය nft 1.0.9 සඳහා ලේඛනගත හස්ත-ස්ථාන ආකාරය භාවිතා කරයි, සහ එය input ගොනුවකට අයත් වේ; අණ අන්තර්ක්‍රියාකාරීව ලියන විට වරහන් උද්ධෘත කිරීම වෙනම කරුණකි.

වින්‍යාසයේ හිමිකරු පැහැදිලිව තබන්න. තම රීති නැවත ගොඩනඟන කළමනාකරුවෙකුට ධාවන කාල සංස්කරණයක් උඩින් ලිවිය හැක, සහ කල් ඉකුත් වූ හස්තයක් දෘඩ-කේතනය කරන ආරම්භක ස්ක්‍රිප්ටයක් එක්කෝ අසාර්ථක වේ, එක්කෝ වැරදි රීතියට සම්බන්ධ වේ.

අවසරය සීමිතය, drop අවසානයි

අවසර තීන්දුවක් එහි වර්තමාන මාර්ගයේ ඇගයීම අවසන් කරයි, නමුත් පසුව අදාළ වන මූලික දාමයකට තවමත් පැකට්ටුව drop කළ හැක. drop තීන්දුව අවසානයි. එබැවින් වැඩිවන අවසර ගණකය ප්‍රවාහය සාර්ථක වූ බවට සාක්ෂියක් නොවේ.

එක් දාමයක් හුදකලාව පරීක්ෂා කරනවාට වඩා සියලු අදාළ hook ප්‍රමුඛතා පරීක්ෂා කරන්න. පැකට්ටුවකට input පෙරහන පසු කර තවත් වගුවක hook එකකින් වෙනත් ප්‍රමුඛතාවක ප්‍රතික්ෂේප විය හැක. ප්‍රවාහය දැකිය හැකි සෑම මූලික දාමයක්ම ලැයිස්තුගත කරන්න.

එම රීතිය ආවරණය කරන්නේ බාහිර ශ්‍රාවක හුවමාරුව පමණි. ප්‍රවාහන-එන්කැප්සුලේටඩ් ESP, දේශීය ESP, IPv6 සහකරුවන් සහ උමඟ තුළ ඩීක්‍රිප්ට් කළ ගමනාගමනය සියල්ලටම තමන්ගේ ප්‍රතිපත්ති අවශ්‍යයි. මෙය සම්පූර්ණ අඩවි VPN ගිනිපවුරක් නොවේ.

ගොනුව පරීක්ෂා කර, පසුව සජීවී ප්‍රතිඵලය තහවුරු කරන්න

යෙදීමට පෙර සමාලෝචිත ගොනුවේ වාක්‍ය ව්‍යූහය සහ ගනුදෙනු පරීක්ෂාවක් ධාවනය කරන්න. පරීක්ෂා ප්‍රකාරය nft වෙනස විග්‍රහ කර සූදානම් කළ හැකිද යන්න වාර්තා කරයි; එය එය යොදන්නේ නැති අතර තවත් hook එකක් පැකට්ටුවට අවසර දෙන බව ඔප්පු නොකරයි. හිමිකරු එය යොදන තෙක් ගොනුව යෝජනාවක් ලෙස පවතී:

nft -c -f reviewed-vpn-rule.nft

හිමිකරුගේ පාලිත ක්‍රියාවලිය හරහා යොදන්න සහ ප්‍රතිසාධන ප්‍රවේශය රැකගන්න. රීතිය වැරදි නම්, ඔබ ඉදිරියට යාමට උත්සාහ කළ drop එක ඔබ එය නිවැරදි කිරීමට භාවිතා කරන මාර්ගයද කපා දැමිය හැක.

වෙනසෙන් පසුව නව අනුමත සහකරු උත්සාහයක් නිරීක්ෂණය කර අනුමත සහකරුවාට පිටතින් ඇති මූලාශ්‍ර තවමත් ප්‍රතික්ෂේප වන බව පරීක්ෂා කරන්න. කල් පවතින රීතිය රීති කට්ටලය හිමි කළමනාකරු වෙත ගෙන යන්න, මන්ද ධාවන කාල හස්ත වර්තමාන වස්තූන් සොයා ගනී, ආරම්භ අතර ඒවා හඳුනා නොගනී.