Jina la mnyororo si ndoano: iptables dhidi ya nftables

Firewall zote mbili zinaweza kuchuja trafiki ya VPN inayopitishwa, na zinaunganisha sheria na njia ya pakiti kwa njia tofauti. iptables ina minyororo iliyojengwa ndani ya jedwali, kwa hiyo FORWARD inapatikana kama kituo cha ndoano chenye jina. nftables hutenganisha jina la mnyororo na aina yake, ndoano na kipaumbele chake, ambayo inamaanisha mnyororo wa kawaida uitwao FORWARD hauchuji chochote. Kulinganisha miundo hiyo miwili kunaeleza kwa nini ingizo linaloonekana sawa katika chombo kimoja halina athari katika kingine.

Mnyororo ni chombo. Kama kernel unauchunguza hutegemea utekelezaji na jinsi seti ya sheria inaunganisha.

Miundo miwili, miunganisho miwili tofauti

Katika iptables jedwali la filter linakuja na minyororo mitatu iliyojengwa ndani, INPUT, FORWARD na OUTPUT, na -N huunda mnyororo uliofafanuliwa na mtumiaji ambao hufanya kazi tu unaporukwa kutoka moja wao. Mwongozo wa nftables badala yake unafafanua minyororo ya msingi, ambayo hutangaza aina yake, ndoano na kipaumbele, na minyororo ya kawaida, ambayo haifanyi hivyo. Mnyororo wa msingi unaweza kuwa na jina lolote, na mnyororo wa kawaida uitwao FORWARD haupati sifa yoyote kutoka kwa lebo yake. Huo ndio tofauti yote, na hauonekani katika mafunzo yanayoonyesha maandishi ya sheria pekee.

Backend za uoanifu zinaongeza sababu ya pili ya kutokisia tabia kutoka kwa jina la amri. Nyaraka za iptables zinabainisha shughuli ambazo hutofautiana chini ya iptables-nft, kwa hiyo chukulia nftables asilia, iptables-nft na seti ya sheria ya zamani kama mifumo mitatu na si tahajia tatu za kimoja.

Soma hitilafu katika muktadha wake halisi

Jedwali linalokosekana, kushindwa kwa ruhusa, kipengele cha kernel kisichopatikana na mnyororo wenye jina unaokosekana ni matokeo manne tofauti, na moja tu linahusu mnyororo. Rekodi toleo la chombo, familia ya anwani na jedwali lililoombwa, nafasi ya jina la mtandao na hitilafu ya kwanza kamili. Kisha angalia ni sehemu gani inamiliki seti ya sheria: huduma ya firewall au lango linalosimamiwa na bidhaa linaweza kuzalisha minyororo na mpangilio wake. Kuongeza mnyororo asilia kando yao kunaacha sera inayosimamiwa bila kubadilika na orodha kuchanganya zaidi.

Nafasi ya jina ya kontena inaweza kuwa na seti ya sheria tofauti na mwenyeji, kwa hiyo amri iliyoendeshwa katika muktadha usiofaa haiwezi kuonyesha ni mnyororo gani uliona pakiti iliyopitishwa. Kuongeza mapendeleo kwa sababu mnyororo uliotarajiwa haukuonekana si utambuzi.

Vihesabu huthibitisha kufikiwa, si hukumu

Vihesabu vya sheria hukuambia kwamba sheria ilifikiwa. Havikuambii kwamba sheria ya baadaye iliruhusu operesheni, na havithibitishi kwamba kila njia mbadala ilikataliwa. Soma wakati wa mtiririko mmoja usio na madhara ulioidhinishwa, pamoja na mpangilio wa sheria na muunganisho wa mnyororo, na uzichukulie kama uchunguzi mmoja badala ya hukumu. Kihesabu kisichokuwa sifuri kwenye sheria ya drop kinamaanisha trafiki iliigusa; haisemi chochote kuhusu trafiki ambayo haikuigusa.

Upelekaji wa IP wa kernel ni mpangilio tofauti kabisa. Kuwepo kwa mnyororo hakuwezeshi upelekaji, na kutokuwepo kwa lebo inayojulikana hakumaanishi upelekaji ulisimama.

Eleza mtiririko unaotaka kulinda

Andika ombi moja la mteja baada ya kutoa kifuniko: chanzo chake, mwisho wake, familia ya anwani, na kama unaishia kwenye lango au unapita ndani yake. Ingizo la huduma ya ndani na trafiki inayopitishwa huzingatiwa katika sehemu tofauti, kwa hiyo zinahitaji sheria tofauti na majaribio tofauti. Kwa VPN ya daraja, thibitisha pia njia ya daraja, kwa sababu mnyororo wa kiwango cha IP hausimamii fremu za Ethernet kiotomatiki.

Hifadhi ufikiaji huru wa kurejesha kabla ya kubadilisha lango la mbali. Kisha thibitisha mtiririko uliokusudiwa na kanusho zinazohitajika chini ya seti hiyo ya sheria. Mnyororo mpya tupu wenye jina linalojulikana si ukarabati.

Ulinganisho unaishia kwenye swali moja: ni ndoano ipi kernel inaita kwa kweli kwa pakiti hii? Jibu hilo, na jina la mnyororo linaacha kuwa muhimu.