Ime verige ni kavelj: iptables proti nftables

Oba požarna zidova lahko filtrirata posredovani promet VPN in pravila pritrjujeta na pot paketa na različne načine. iptables ima vgrajene verige znotraj tabele, zato FORWARD obstaja kot imenovana točka kljuke. nftables loči ime verige od njenega tipa, kljuke in prioritete, kar pomeni, da običajna veriga z imenom FORWARD ne filtrira ničesar. Primerjava obeh modelov pojasni, zakaj vnos, ki se v enem orodju zdi pravilen, v drugem nima učinka.

Veriga je vsebnik. Ali jo jedro pregleda, je odvisno od izvedbe in od tega, kako jo nabor pravil pritrdi.

Dva modela, dve različni pritrditvi

V iptablesu tabela filter vsebuje tri vgrajene verige, INPUT, FORWARD in OUTPUT, -N pa ustvari uporabniško definirano verigo, ki deluje le, ko se nanjo skoči iz ene od njih. Priročnik nftablesa namesto tega opredeljuje osnovne verige, ki navajajo svoj tip, kljuko in prioriteto, ter običajne verige, ki tega ne počnejo. Osnovna veriga ima lahko poljubno ime, običajna veriga z imenom FORWARD pa od svoje oznake ne dobi nobenih lastnosti. To je vsa razlika in je nevidna v vadnici, ki prikazuje samo besedilo pravil.

Kompatibilni zaledni deli dodajo drugi razlog, da vedenja ne sklepamo iz imena ukaza. Dokumentacija iptablesa navaja operacije, ki se pod iptables-nft razlikujejo, zato domorodni nftables, iptables-nft in starejši nabor pravil obravnavajte kot tri sisteme, ne kot tri zapise enega.

Preberite napako v njenem resničnem kontekstu

Manjkajoča tabela, neuspeh dovoljenja, nedosegljiva jedrna zmogljivost in manjkajoča imenovana veriga so štiri različne ugotovitve in le ena se nanaša na verigo. Zabeležite različico orodja, zahtevano družino naslovov in tabelo, omrežni imenski prostor in prvo natančno napako. Nato preverite, katera komponenta ima v lasti nabor pravil: požarna storitev ali prehod, ki ga upravlja izdelek, lahko ustvari lastne verige in vrstni red. Dodajanje domorodne verige poleg njih pusti upravljano politiko nedotaknjeno in popis še bolj zmeden.

Imenski prostor vsebnika ima lahko drugačen nabor pravil kot gostitelj, zato ukaz, izveden v napačnem kontekstu, ne more pokazati, katera veriga je videla posredovani paket. Povišanje pravic, ker pričakovana veriga ni bila vidna, ni diagnoza.

Števci dokazujejo doseg, ne razsodbe

Števci pravil povedo, da je bilo pravilo doseženo. Ne povedo, da je poznejše pravilo operacijo dovolilo, in ne dokazujejo, da je bila vsaka nadomestna pot zavrnjena. Berite jih med enim neškodljivim odobrenim tokom, skupaj z vrstnim redom pravil in pritrditvijo verige, in jih obravnavajte kot eno opažanje, ne kot razsodbo. Števec, ki ni nič, na pravilu drop pomeni, da je promet nanj naletel; o prometu, ki ni naletel, ne pove ničesar.

Posredovanje IP v jedru je povsem ločena nastavitev. Obstoj verige ne omogoči posredovanja, odsotnost znane oznake pa ne pomeni, da se je posredovanje ustavilo.

Opišite tok, ki ga želite zaščititi

Zapišite eno zahtevo odjemalca po dekapsulaciji: njen vir, cilj, družino naslovov in ali se konča na prehodu ali gre skozenj. Vhod lokalne storitve in posredovani promet se opazujeta na različnih točkah, zato potrebujeta drugačna pravila in drugačne preizkuse. Pri mostnem VPN preverite tudi pot mostu, ker veriga na ravni IP ne nadzoruje ethernetnih okvirjev samodejno.

Preden spremenite oddaljeni prehod, ohranite neodvisen dostop za obnovitev. Nato pod istim naborom pravil potrdite predvideni tok in zahtevane zavrnitve. Nova prazna veriga z znanim imenom ni popravilo.

Primerjava se konča z enim vprašanjem: katero kljuko jedro v resnici pokliče za ta paket? Odgovorite na to in ime verige preneha biti pomembno.