Názov reťazca nie je háčik: iptables verzus nftables

Obe brány firewall dokážu filtrovať preposielanú VPN prevádzku a pravidlá pripájajú k ceste paketu rôznymi spôsobmi. iptables má vstavané reťazce v tabuľke, takže FORWARD existuje ako pomenovaný bod háčika. nftables oddeľuje názov reťazca od jeho typu, háčika a priority, čo znamená, že bežný reťazec s názvom FORWARD nič nefiltruje. Porovnanie oboch modelov vysvetľuje, prečo záznam, ktorý vyzerá správne v jednom nástroji, nemá v druhom žiadny účinok.

Reťazec je kontajner. Či ho jadro preskúma, závisí od implementácie a od toho, ako ho množina pravidiel pripája.

Dva modely, dve rôzne pripojenia

V iptables tabuľka filter obsahuje tri vstavané reťazce, INPUT, FORWARD a OUTPUT, a -N vytvára používateľom definovaný reťazec, ktorý pôsobí len vtedy, keď sa naň skočí z jedného z nich. Príručka nftables namiesto toho definuje základné reťazce, ktoré deklarujú svoj typ, háčik a prioritu, a bežné reťazce, ktoré to nerobia. Základný reťazec môže mať ľubovoľný názov a bežný reťazec s názvom FORWARD nezíska zo svojho označenia žiadne vlastnosti. To je celý rozdiel a je neviditeľný v návode, ktorý ukazuje iba text pravidiel.

Kompatibilné backendy pridávajú druhý dôvod, prečo neusudzovať správanie z názvu príkazu. Dokumentácia iptables uvádza operácie, ktoré sa pod iptables-nft líšia, preto berte natívny nftables, iptables-nft a staršiu množinu pravidiel ako tri systémy, nie ako tri spôsoby zápisu jedného.

Čítajte chybu v jej skutočnom kontexte

Chýbajúca tabuľka, zlyhanie oprávnenia, nedostupná funkcia jadra a chýbajúci pomenovaný reťazec sú štyri rôzne zistenia a iba jedno sa týka reťazca. Zaznamenajte verziu nástroja, požadovanú rodinu adries a tabuľku, sieťový menný priestor a prvú presnú chybu. Potom overte, ktorý komponent vlastní množinu pravidiel: služba firewallu alebo produktom spravovaná brána môže generovať vlastné reťazce a poradie. Pridanie natívneho reťazca vedľa nich necháva spravovanú politiku nedotknutú a inventár mätúcejší.

Menný priestor kontajnera môže obsahovať inú množinu pravidiel ako hostiteľ, takže príkaz spustený v nesprávnom kontexte nemôže ukázať, ktorý reťazec videl preposielaný paket. Zvýšenie oprávnení preto, že očakávaný reťazec nebol viditeľný, nie je diagnóza.

Počítadlá dokazujú dosiahnutie, nie rozsudok

Počítadlá pravidiel hovoria, že pravidlo bolo dosiahnuté. Nehovoria, že neskoršie pravidlo operáciu povolilo, a nedokazujú, že každá alternatívna cesta bola zamietnutá. Čítajte ich počas jedného neškodného povoleného toku spolu s poradím pravidiel a pripojením reťazca a berte ich ako jedno pozorovanie, nie ako rozsudok. Počítadlo odlišné od nuly na pravidle drop znamená, že prevádzka naň narazila; o prevádzke, ktorá naň nenarazila, nehovorí nič.

Preposielanie IP v jadre je úplne samostatné nastavenie. Existencia reťazca neumožňuje preposielanie a absencia známeho označenia neznamená, že preposielanie sa zastavilo.

Opíšte tok, ktorý chcete chrániť

Zapíšte jednu požiadavku klienta po dekapsulácii: jej zdroj, cieľ, rodinu adries a to, či sa končí na bráne alebo cez ňu prechádza. Vstup lokálnej služby a preposielaná prevádzka sa pozorujú v rôznych bodoch, preto potrebujú rôzne pravidlá a rôzne testy. Pri mostovom VPN overte aj cestu mosta, pretože reťazec na úrovni IP automaticky nekontroluje ethernetové rámce.

Pred zmenou vzdialenej brány si zachovajte nezávislý prístup na obnovu. Potom potvrďte zamýšľaný tok a potrebné zamietnutia pod tou istou množinou pravidiel. Nový prázdny reťazec so známym názvom nie je oprava.

Porovnanie sa končí jednou otázkou: ktorý háčik jadro naozaj volá pre tento paket? Odpovedzte na to a názov reťazca prestane byť dôležitý.