செயின் பெயர் ஹூக் அல்ல: iptables vs nftables

இரு ஃபயர்வால்களும் அனுப்பப்படும் VPN போக்குவரத்தை வடிகட்ட முடியும், அவை விதிகளைப் பாக்கெட் பாதையுடன் வெவ்வேறு வழிகளில் இணைக்கின்றன. iptables இல் அட்டவணைக்குள் உள்ளமைந்த செயின்கள் உள்ளன, எனவே FORWARD ஒரு பெயரிடப்பட்ட ஹூக் புள்ளியாக உள்ளது. nftables செயினின் பெயரை அதன் வகை, ஹூக் மற்றும் முன்னுரிமையிலிருந்து பிரிக்கிறது, அதாவது FORWARD எனும் பெயரில் உள்ள சாதாரண செயின் எதையும் வடிகட்டாது. இரு மாதிரிகளையும் ஒப்பிடுவது ஒரு கருவியில் சரியாகத் தோன்றும் உள்ளீடு மற்றொன்றில் ஏன் பயனில்லை என்பதை விளக்குகிறது.

செயின் ஒரு கொள்கலன். கர்னல் அதைப் பார்க்கிறதா என்பது செயலாக்கம் மற்றும் விதித்தொகுப்பு அதை எவ்வாறு இணைக்கிறது என்பதைப் பொறுத்தது.

இரு மாதிரிகள், இரு வேறு இணைப்புகள்

iptables இல் filter அட்டவணை மூன்று உள்ளமைந்த செயின்களுடன் வருகிறது, INPUT, FORWARD மற்றும் OUTPUT, மேலும் -N பயனர் வரையறுத்த செயினை உருவாக்குகிறது, அது அவற்றில் ஒன்றிலிருந்து அதற்குத் தாவும்போது மட்டுமே செயல்படும். nftables கையேடு அதற்குப் பதிலாக அடிப்படை செயின்களை வரையறுக்கிறது, அவை தங்கள் வகை, ஹூக் மற்றும் முன்னுரிமையை அறிவிக்கின்றன, மேலும் அவ்வாறு செய்யாத சாதாரண செயின்களையும். அடிப்படை செயின் எந்தப் பெயரையும் கொள்ளலாம், FORWARD எனும் பெயரில் உள்ள சாதாரண செயின் அதன் லேபிளிலிருந்து எந்தப் பண்பையும் பெறாது. அதுவே முழு வேறுபாடு, விதியின் உரையை மட்டும் காட்டும் பயிற்சியில் அது தெரியாது.

இணக்க பின்னணிகள் கட்டளையின் பெயரிலிருந்து நடத்தையை ஊகிக்கக் கூடாது என்பதற்கான இரண்டாவது காரணத்தைச் சேர்க்கின்றன. iptables ஆவணம் iptables-nft இன் கீழ் வேறுபடும் செயல்பாடுகளைக் குறிப்பிடுகிறது, எனவே சொந்த nftables, iptables-nft மற்றும் பழைய விதித்தொகுப்பை ஒன்றின் மூன்று எழுத்துக்கூட்டல்கள் அல்ல, மூன்று அமைப்புகளாகக் கருதுங்கள்.

பிழையை அதன் உண்மையான சூழலில் படியுங்கள்

காணாத அட்டவணை, அனுமதி தோல்வி, கிடைக்காத கர்னல் வசதி மற்றும் காணாத பெயரிடப்பட்ட செயின் ஆகியவை நான்கு வேறு கண்டுபிடிப்புகள், அவற்றில் ஒன்று மட்டுமே செயினைப் பற்றியது. கருவியின் பதிப்பு, கோரப்பட்ட முகவரி குடும்பம் மற்றும் அட்டவணை, நெட்வொர்க் பெயர்வெளி மற்றும் முதல் துல்லியமான பிழையைப் பதிவு செய்யுங்கள். பின்னர் விதித்தொகுப்பு எந்தக் கூறுக்குச் சொந்தம் என்பதைச் சரிபார்க்கவும்: ஃபயர்வால் சேவை அல்லது தயாரிப்பு நிர்வகிக்கும் நுழைவாயில் தங்கள் சொந்த செயின்களையும் வரிசையையும் உருவாக்கலாம். அவற்றின் அருகில் சொந்த செயினைச் சேர்ப்பது நிர்வகிக்கப்பட்ட கொள்கையைத் தொடாமல் விட்டு பட்டியலை மேலும் குழப்பமாக்குகிறது.

கொள்கலனின் பெயர்வெளி ஹோஸ்ட்டிலிருந்து வேறுபட்ட விதித்தொகுப்பை வைத்திருக்கலாம், எனவே தவறான சூழலில் இயக்கப்பட்ட கட்டளை எந்தச் செயின் அனுப்பப்பட்ட பாக்கெட்டைப் பார்த்தது என்பதைக் காட்ட முடியாது. எதிர்பார்க்கப்பட்ட செயின் தெரியவில்லை என்பதற்காகச் சிறப்புரிமைகளை உயர்த்துவது நோயறிதல் அல்ல.

எண்ணிகள் அடைவை நிரூபிக்கின்றன, தீர்ப்பை அல்ல

விதி எண்ணிகள் ஒரு விதி அடையப்பட்டதைத் தெரிவிக்கின்றன. பின்னர் வந்த விதி செயல்பாட்டை அனுமதித்ததை அவை தெரிவிக்கவில்லை, ஒவ்வொரு மாற்றுப் பாதையும் மறுக்கப்பட்டதை நிரூபிக்கவும் இல்லை. ஒரு பாதிப்பற்ற அனுமதிக்கப்பட்ட ஓட்டத்தின்போது, விதி வரிசை மற்றும் செயின் இணைப்புடன் அவற்றைப் படியுங்கள், தீர்ப்பாக அல்ல, ஒரு கவனிப்பாகக் கருதுங்கள். drop விதியில் பூஜ்ஜியமல்லாத எண்ணி என்பது போக்குவரத்து அதைத் தொட்டது என்று பொருள்; தொடாத போக்குவரத்தைப் பற்றி அது எதுவும் சொல்லவில்லை.

கர்னல் IP அனுப்புதல் முற்றிலும் தனி அமைப்பு. செயின் இருப்பது அனுப்புதலை இயக்காது, பரிச்சயமான லேபிள் இல்லாதது அனுப்புதல் நின்றது என்று பொருள் அல்ல.

நீங்கள் பாதுகாக்க விரும்பும் ஓட்டத்தை விவரியுங்கள்

நீக்கல் முடிந்த பிறகு ஒரு கிளையன் கோரிக்கையை எழுதுங்கள்: அதன் மூலம், இலக்கு, முகவரி குடும்பம், அது நுழைவாயிலில் முடிகிறதா அல்லது அதன் வழியாகச் செல்கிறதா. உள்ளூர் சேவை உள்ளீடு மற்றும் அனுப்பப்பட்ட போக்குவரத்து வெவ்வேறு புள்ளிகளில் கவனிக்கப்படுகின்றன, எனவே அவற்றுக்கு வேறு விதிகள் மற்றும் வேறு சோதனைகள் தேவை. பாலம் VPN க்கு பாலப் பாதையையும் சரிபார்க்கவும், ஏனெனில் IP மட்டத்தில் உள்ள செயின் ஈதர்நெட் சட்டங்களைத் தானாகக் கண்காணிக்காது.

தொலை நுழைவாயிலை மாற்றும் முன் சுயாதீன மீட்பு அணுகலைப் பாதுகாக்கவும். பின்னர் அதே விதித்தொகுப்பின் கீழ் நோக்கிய ஓட்டத்தையும் தேவையான மறுப்புகளையும் உறுதிப்படுத்துங்கள். பரிச்சயமான பெயரில் உள்ள புதிய காலி செயின் பழுது அல்ல.

ஒப்பீடு ஒரு கேள்வியில் முடிகிறது: இந்தப் பாக்கெட்டுக்கு கர்னல் உண்மையில் எந்த ஹூக்கை அழைக்கிறது? அதற்குப் பதிலளியுங்கள், செயினின் பெயர் இனி முக்கியமல்ல.