Weka sera ya nftables imara wakati kiolesura cha VPN kinapokuja

Handaki ni za matumizi ya mara moja; sera haipaswi kuwa hivyo. Kwenye lango la Linux, kanuni ya nftables inayolinganisha kiolesura cha handaki kwa jina inaweza kupakiwa mara moja na inaendelea kutumika kila kiolesura hicho kinapotokea. Kiolesura bado kina mzunguko wa maisha: kinaundwa, kinatoweka, na njia pamoja na tafsiri zinazoizunguka hufuata ratiba yao wenyewe. Kutenganisha wamiliki hao ndiko kunakodumisha ufikiaji imara wakati wa kuunganisha upya.

Ulinganisho wa jina huishi zaidi ya kiolesura

nftables hutoa ulinganisho wa nambari wa kielekezi cha kiolesura na ulinganisho wa jina unaobadilika iifname na oifname. Kanuni zinazotumia majina hayo hupakiwa safi hata kifaa cha handaki kikiwa hakijaundwa bado, jambo ambalo ndilo seti ya kanuni inahitaji wakati wa kuwasha. Ulinganisho huacha ikiwa kiolesura kitabadilishwa jina na kuendelea tena kiolesura kipya kinapochukua jina hilo. Kielekezi cha nambari hakina sifa hiyo, ndiyo sababu umbo la jina ndilo chaguo la kawaida kwa handaki.

Jina ni ufunguo wa ulinganisho, si uthibitisho wa nani aliye upande wa pili. Uthibitishaji wa mwenza unabaki kuwa kazi ya VPN.

Soma mnyororo kabla ya kuongeza kanuni

Angalia seti ya kanuni ina nini sasa na mahali kanuni mpya itakapokaa, kwa sababu mpangilio huamua matokeo.

nft list ruleset
nft -c -f /etc/nftables.conf

Orodha inaonyesha minyororo, kanuni na vishikio, na hali ya ukaguzi huthibitisha faili ya mteule bila kuipakia. Ruhusa ya handaki pekee iliyowekwa baada ya kukubaliwa kwa awali kwa mtiririko huo haibadilishi chochote, kwa sababu kanuni ya kwanza inayolingana hushinda. Ndiyo sababu kanuni iliyochelewa inaweza kuonekana sahihi na isiwe na athari yoyote. Soma mnyororo kwa mpangilio na uthibitisha kwamba katazo la trafiki kutoka mteja kwenda kiungo cha juu bado linatangulia kitu chochote kilichopana zaidi.

Njia, tafsiri na mitiririko vina wamiliki wengine

Uwepo wa kiolesura hautengenezi njia na hauthibitishi mwenza. Hivyo ni vya msimamizi wa VPN, wakati tafsiri ina mzunguko wa tatu wa maisha.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Orodha ya conntrack inaonyesha mitiririko iliyopo na thamani zake halisi na zilizotafsiriwa, na orodha ya njia inaonyesha kile msimamizi alisakinisha kwa kiolesura. Kanuni za NAT huweka hali ya ufuatiliaji wa muunganisho kwenye pakiti ya kwanza, hivyo mtiririko ulioimarishwa huhifadhi tafsiri yake hata baada ya kanuni kubadilika. Ndiyo sababu kanuni inayosasishwa na mtiririko unaotumia njia mpya ni kauli mbili tofauti. Amua vikao vipi vinapaswa kuunganishwa upya na uache mitiririko isiyohusiana.

Kubali kuanza baridi, upotevu na urejeshaji

Jaribu lango handaki ikiwa haipo wakati wa kuwasha, kisha ikiwepo, kisha baada ya kukatika na kurudi. Thibitisha kwamba usambazaji uliozuiwa unabaki umefungwa handaki ikiwa haipo, kwamba mtiririko mpya ulioruhusiwa hufanya kazi mwenza anapothibitishwa, na kwamba urejeshaji hauhitaji kufuta hali isiyohusiana. Usifute mnyororo mzima wa POSTROUTING au kila kiingilio cha conntrack kama hatua ya kusimamisha wasifu mmoja, kwa sababu huduma nyingine huzishiriki. Andika ni sehemu ipi ilibadilisha kiolesura, njia na sera, badala ya tu kwamba ndoano ya kuanza ilitoka na sifuri.

Sera inayostahimili kuunganisha upya ni ile ambayo wamiliki wake wametajwa na kanuni zake zimejaribiwa handaki ikiwa chini na juu. Ndoano inayoripoti mafanikio inathibitisha tu kwamba ndoano ilifanya kazi.