Mbajeni politikën e nftables të qëndrueshme ndërsa vjen ndërfaqja VPN

Tunelet janë të përkohshme; politika nuk duhet të jetë e tillë. Në një portë Linux, një rregull nftables që përputh ndërfaqen e tunelit sipas emrit mund të ngarkohet një herë dhe vazhdon të zbatohet sa herë që ajo ndërfaqe shfaqet. Ndërfaqja ka ende një cikël jetësor: krijohet, zhduket, dhe rrugët e përkthimet përreth saj ndjekin orarin e tyre. Është ndarja e këtyre pronarëve ajo që e mban aksesin të qëndrueshëm gjatë një rilidhjeje.

Përputhja sipas emrit i mbijeton ndërfaqes

nftables ofron përputhje numerike të indeksit të ndërfaqes dhe përputhjet dinamike të emrit iifname dhe oifname. Rregullat që përdorin këto emra ngarkohen pastër edhe kur pajisja e tunelit nuk është krijuar ende, që është pikërisht ajo që i duhet një grupi rregullash në nisje. Përputhja ndalon nëse ndërfaqja riemërtohet dhe rifillon kur një ndërfaqe e re merr atë emër. Një indeks numerik nuk e ka këtë veti, prandaj forma me emër është zgjedhja e zakonshme për një tunel.

Emri është një çelës përputhjeje, jo provë se kush është në anën tjetër. Vërtetimi i partnerit mbetet puna e VPN-së.

Lexoni zinxhirin përpara se të shtoni rregulla

Shikoni çfarë përmban tani grupi i rregullave dhe ku do të vendosej një rregull i ri, sepse rendi vendos rezultatin.

nft list ruleset
nft -c -f /etc/nftables.conf

Lista tregon zinxhirë, rregulla dhe doreza, dhe mënyra e kontrollit vërteton një skedar kandidat pa e ngarkuar. Një leje vetëm për tunelin, e vendosur pas një pranimi të mëparshëm për të njëjtën rrjedhë, nuk ndryshon asgjë, sepse fiton rregulli i parë që përputhet. Prandaj një rregull i vonuar mund të duket i saktë dhe të mos ketë asnjë efekt. Lexoni zinxhirin me radhë dhe konfirmoni se ndalimi për trafikun nga klienti drejt lidhjes lart vjen ende përpara çdo gjëje më të gjerë.

Rrugët, përkthimi dhe rrjedhat kanë pronarë të tjerë

Prania e ndërfaqes nuk krijon rrugë dhe nuk vërteton partnerin. Ato i përkasin menaxherit të VPN, ndërsa përkthimi ka një cikël të tretë jetësor.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Lista e conntrack tregon rrjedhat ekzistuese me vlerat e tyre origjinale dhe të përkthyera, dhe lista e rrugëve tregon çfarë ka instaluar menaxheri për ndërfaqen. Rregullat NAT vendosin gjendjen e ndjekjes së lidhjes në paketën e parë, kështu që një rrjedhë e vendosur ruan përkthimin e saj edhe pasi rregulli ndryshon. Prandaj një rregull që përditësohet dhe një rrjedhë që përdor rrugën e re janë dy pohime të ndryshme. Vendosni cilat sesione duhet të rilidhen dhe lërini të qeta rrjedhat e palidhura.

Pranoni nisjen e ftohtë, humbjen dhe rikuperimin

Provoni portën me tunelin mungues në nisje, pastaj i pranishëm, dhe pastaj pas një ndërprerjeje dhe një kthimi. Konfirmoni se përcjellja e ndaluar mbetet e ndaluar sa kohë mungon tuneli, se një rrjedhë e re e lejuar funksionon pasi partneri vërtetohet, dhe se rikuperimi nuk kërkon pastrimin e gjendjes së palidhur. Mos fshini të gjithë zinxhirin POSTROUTING ose çdo hyrje conntrack si veprim ndalimi të një profili, sepse shërbimet e tjera i ndajnë ato. Shënoni cili komponent ndryshoi ndërfaqen, rrugën dhe politikën, jo vetëm se një grep nisjeje doli me zero.

Një politikë që i mbijeton një rilidhjeje është ajo, pronarët e së cilës janë emërtuar dhe rregullat e së cilës janë provuar me tunelin si poshtë ashtu edhe lart. Një grep që raporton sukses provon vetëm se grepi u ekzekutua.