Alama za nftables na uelekezaji wa VPN: kanuni ipi inashinda kwa kweli

Alama inayowekwa katika nftables inapaswa kupeleka tabaka moja ya trafiki kupitia handaki, lakini trafiki inaendelea kutoka kupitia kiolesura cha kimwili. Seti ya kanuni inaonekana sahihi ikiwa peke yake. Kinachotokea kwa kawaida ni kwamba kitu kingine kiliandika alama hiyo hiyo, au kanuni ya uelekezaji inalingana na kizuizi ambacho thamani mpya haikikidhi tena.

Ukaguzi 1: soma kanuni ambayo kerneli inalingana nayo

Anza na kanuni ya sera badala ya ngome ya moto. Kerneli hukagua kanuni kwa mpangilio wa kipaumbele na mlingano wa kwanza huamua jedwali. Soma thamani ya fwmark na kizuizi kutoka kwenye kanuni yenyewe, kisha thibitisha kwamba pakiti yenye alama uliyoweka inalingana nayo kweli. Kanuni inayotarajia thamani kamili ya biti 32 haitalingana na pakiti inayobeba biti moja tu.

Kisha thibitisha ni jedwali gani kanuni hiyo inachagua na jedwali lina nini. Kanuni inayoelekeza kwenye jedwali tupu huzalisha kushindwa kwa utafutaji, ambayo katika mifumo mingi inamaanisha pakiti huanguka kwenye kanuni inayofuata na kutoka kupitia kiolesura cha kimwili.

Amri mbili huamua hili: orodha ya kanuni, na utafutaji wa njia wa lengwa katika jedwali hilo.

Ukaguzi 2: alama ya pakiti au alama ya muunganisho

nftables inaweza kuweka alama kwenye pakiti na alama kwenye ingizo la ufuatiliaji wa miunganisho, na hizi ni vitu tofauti. Alama ya pakiti huishi wakati wa mzunguko wa usindikaji wa pakiti, ilhali alama ya muunganisho hudumu kwa mtiririko na lazima inakiliwe kwa makusudi. Kuweka moja na kutarajia lingine ni suluhisho la nusu linalojulikana.

Ikiwa kanuni ya uelekezaji inategemea alama ya pakiti, kurejesha alama ya muunganisho baadaye kwenye njia hakusaidii uamuzi huo, kwa sababu uamuzi tayari umefanyika.

Amua ni kitu gani kinachomiliki ishara ya uelekezaji, kisha kiweke mahali ambapo uamuzi wa uelekezaji hufanywa.

Ukaguzi 3: nani mwingine anaandika alama hiyo

Zana za WireGuard zenyewe huweka alama kwenye pakiti zake za UDP ili usafirishaji uliosimbwa usielekezwe tena kwenye handaki linalomhusu. Ikiwa seti yako ya kanuni inatoa thamani isiyohusiana kwenye sehemu hiyo hiyo, ubaguzi huo hupotea na trafiki ya nje ya handaki hujaribu kujuingia yenyewe. Dalili ni handaki linaloanzishwa kisha likaacha kupitisha trafiki.

Alama pia hutumiwa na zana nyingine za ngome ya moto, mtandao wa makontena na uelekezaji wa sera kwa madhumuni mengine, kwa hivyo mifumo midogo miwili kuandika sehemu yote ni mgongano hata kila mmoja ukiwa sahihi peke yake.

Orodhesha waandishi kabla ya kuongeza mwingine.

Ukaguzi 4: kizuizi huamua unachobakiza

Alama ni sehemu ya biti 32, na vizuizi ni njia ambayo wamiliki kadhaa huishiriki. Kuweka thamani na kizuizi huhifadhi biti ambazo huzimiliki; kuweka sehemu yote huharibu za wengine wote. Soma kizuizi katika kila kanuni inayogusa sehemu hiyo, ikiwa ni pamoja na zile usizoandika.

Andika mgawanyo wa biti kando ya seti ya kanuni.

Vinginevyo mtu anayefuata atatumia tena thamani ambayo tayari ina mmiliki, na mgongano hapa unaonekana kama hitilafu ya uelekezaji wakati ni hitilafu ya anwani. Nyaraka za nftables kuhusu metadata ya pakiti zinaelezea shughuli za alama zenyewe.

Ukaguzi 5: thibitisha kwa mtiririko halisi, si kwa utafutaji

Utafutaji wa kawaida wa njia haubebi alama, kwa hivyo unaweza kuonyesha njia tofauti na pakiti halisi. Zalisha trafiki unayojali na uangalie vihesabu, ingizo la ufuatiliaji wa miunganisho na kiolesura inachotoka kweli. Jaribu tabaka lililojumuishwa na tabaka lililotengwa, kwa sababu alama pana mno huvunja utengaji huku ikionekana kufanikiwa. Ikiwa tabaka lililojumuishwa linafanya kazi na tabaka lililotengwa pia linaingia handakini, alama ni pana mno na si nyembamba mno.

Epuka kufuta hali ya miunganisho ili kulazimisha uboreshaji wakati wa kikao hai, kwa sababu mitiririko mipya na iliyopo inaweza kuchukua njia tofauti kwa halali.

Rekodi alama, kizuizi na jedwali mahali pamoja, na uhariri unaofuata unakuwa wa kukaguliwa.