nftables: geli qaanuunka ogolaanshaha VPN ka hor gacan-qabka drop

Dhig qaanuun ogolaansho meel khaldan oo wuxuu u dhaqmaa sidii qaanuun aan jirin. Nftables gudaha doorashada u dhexaysa insert iyo add waxay go'aamisaa dhinaca qaanuunka la tixraacay ee hadalka cusub ku dhaco, gacan-qabkuna wuxuu magacaabaa qaanuunka qaanuunka nool halkii uu ka ahaan lahaa lambarka safkiisa. Haddii meesha khaldan tahay, baakaddu waxay marka hore gaartaa drop-ka.

Isbarbardhigga hoose wuxuu isticmaalaa hal lammaane go'an iyo hal is-dhaafsi dhegeyste dibadeed. Waa si ula kac ah cidhiidhi; beddelka silsilad dhan waa isbeddel kale oo leh muuqaal khatar oo kale.

Laba meelood, laba natiijo oo kala duwan

insert wuxuu qaanuunka dhigaa ka hor qaanuunka la tixraacay. add wuxuu dhigaa ka dib. Haddii qaanuunka la tixraacay uu yahay drop-ka ugu dambeeya qulqulka, labada amar waxay bixiyaan natiijooyin iska soo horjeeda xitaa marka qoraalka qaanuunku isku mid yahay.

Ka-tagidda meel waxay leedahay dhaqan keeda caadi ah, taas oo sabab kale u tahay in aan laga soo guurin amar gole dood ah iyada oo aan la akhrin waxa uu ku xiran yahay. Xididku waa go'aanka oo dhan. Qor dhinaca la doonayo ka hor inta aadan qorin amarka. Faylka gudihiisa insert iyo add waxay ku kala duwan yihiin hal eray.

Meeshu waxay ku xiran tahay qaanuun ku jira silsilad gaar ah. U rarista isla hadalka silsilad kale ama mudnaan hook kale waxay beddelaa baakadaha uu arko, xitaa marka qaanuunka qoraalkiisu sax u muuqdo.

Gacan-qabku wuxuu aqoonsadaa qaanuun, ma aha lambarka safka

Gacan-qab sida 42 waa aqoonsi ku jira xaaladda hadda ee qaanuunka. Ma aha qaanuunka afartan iyo labaad, mana aha mid deggan host-yada, dib-u-dhiska ama maareeyaha dib u soo raraya habayntiisa.

Raadi silsiladda iyo drop-ka dhabta ah ee ugu dambeeya ka hor inta aadan dooran xididka. Ka dibna xaqiiji gacan-qabka qaanuunkaas isla liiska muujinaya drop-ka, si lambarka iyo qaanuunku wada loo akhriyo. Gacan-qab laga akhriyay liis hore ayaa laga yaabaa inuu horey u ahaa qaanuun kale. Dib u akhri fadhiga fulin doona isbeddelka.

iptables --version
nft -a list ruleset

Nooca iptables wuxuu sheegaa backend-ka la isticmaalayo. Qaanuunka iptables-nft iyo shaxda asalka ah ee si madax-bannaan loo maareeyo way wada jiri karaan, sidaas darteed liis ka yimid hal frontend si otomaatig ah ma aha sawirka shaandhaynta oo dhan. Hubi labada aragti ka hor inta aadan dooran silsilad.

Raadi silsiladda iyo qaanuunka dhab ahaan sameeya drop

Akhri hook-ga gelitaanka, mudnaanta silsiladda iyo qaanuunka diidaya qulqulkan dhegeyste. Shaxda inet waxay qaadan kartaa labada qoys ee ciwaannada, laakiin qaanuun keli ah wali wuxuu la jaan-qaadi karaa oo kaliya IPv4.

Qaado hal lammaane la ansixiyay, adoo isticmaalaya 198.51.100.25 oo ka mid ah xadka dukumentiga tusaale ahaan. Fayl asalka ah oo la eegay ayaa laga yaabaa inuu ogolaansho dibadeed dhigto ka hor gacan-qabka 42:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Beddel qoyska, shaxda, silsiladda, gacan-qabka, interface-ka gelitaanka iyo lammaanaha ka dib baaritaanka. Tusaaluhu wuxuu isticmaalaa qaabka meesha-gacan-qabka ee loo diiwaangeliyay nft 1.0.9, wuxuuna ku deelan yahay fayl gelin; xigashada gunta waa arrin gaar ah marka amarka si is-dhexgal ah loo qoro.

Hayso milkiilaha habaynta oo cad. Maareeyaha dib u dhisaya qaanuunkiisa wuxuu ka sarreyn karaa wax ka beddelka waqtiga socodka, skript-ka bilowga ee si adag u qoraya gacan-qab duugoobay wuxuu ku guuldareysanayaa ama ku dhegganaanayaa qaanuunka khaldan.

Ogolaanshuhu waa xaddidan yahay, drop-ku waa dhammaad

Xukunka ogolaanshaha wuxuu joojinayaa qiimeynta waddadiisa hadda, laakiin silsilad saldhig ah oo dambe oo lagu dabaqi karo wali waxay tuuri kartaa baakadda. Xukunka drop-ku waa dhammaad. Taasi waa sababta tirakoobka ogolaanshaha ee kordhaya aanay caddayn u ahayn in qulqulku guulaystay.

Baar dhammaan mudnaanta hook ee khuseeya halkii aad silsilad keli ah gooni u baari lahayd. Baakaddu waxay dhaafi kartaa shaandheynta gelitaanka oo wali laga diidi karaa hook shax kale oo mudnaan kale leh. Liis dhammaan silsilad saldhig ah oo arki karta qulqulka.

Qaanuunkaas wuxuu daboolaa oo kaliya is-dhaafsiga dhegeystaha dibadeed. ESP lagu duubay gaadiidka, ESP asalka ah, lammaanayaasha IPv6 iyo taraafikada la furey ee tunnel-ka gudihiisa dhammaantood waxay u baahan yihiin siyaasado u gaar ah. Tani ma aha derbi-dab oo buuxa oo VPN goobta ah.

Hubi faylka, ka dibna xaqiiji natiijada nool

Ka hor inta aadan dabaqin, ku socodsii baaritaan qoraal iyo macaamil ah faylka la eegay. Habka baaritaanku wuxuu sheegaa haddii nft ay falanqayn karto oo diyaarin karto isbeddelka; ma dabaqdo oo ma caddeeyo in hook kale uu oggolaan doono baakadda. Faylku wuxuu ahaanayaa soo-jeedin ilaa milkiiluhu dabaqo:

nft -c -f reviewed-vpn-rule.nft

Ku dabaq habka la xakameeyay ee milkiilaha oo ilaali gelitaanka soo-kabashada. Haddii qaanuunku khaldan yahay, drop-ka aad isku dayaysay inaad ka hor timaado ayaa sidoo kale gooyn kara waddada aad ku saxayso.

Isbeddelka ka dib, u fiirso isku day lammaane cusub oo la oggolaaday oo hubi in ilaha ka baxsan lammaanaha la ansixiyay wali la diidayo. U rar qaanuunka waarta maareeyaha leh qaanuunka, sababtoo ah gacan-qabka waqtiga socodku wuxuu helaa walxaha hadda jira halkii uu ku aqoonsan lahaa bilowga dhexdiisa.