చైన్ పేరు హుక్ కాదు: iptables vs nftables

రెండు ఫైర్‌వాల్‌లు ఫార్వర్డ్ అయ్యే VPN ట్రాఫిక్‌ను ఫిల్టర్ చేయగలవు, మరియు అవి నియమాలను ప్యాకెట్ మార్గానికి వేర్వేరు విధాలుగా జోడిస్తాయి. iptables లో పట్టిక లోపల అంతర్నిర్మిత చైన్లు ఉంటాయి, కాబట్టి FORWARD ఒక పేరున్న హుక్ బిందువుగా ఉంటుంది. nftables చైన్ పేరును దాని రకం, హుక్ మరియు ప్రాధాన్యత నుండి వేరు చేస్తుంది, అంటే FORWARD అనే పేరున్న సాధారణ చైన్ ఏదీ ఫిల్టర్ చేయదు. రెండు నమూనాలను పోల్చడం వల్ల ఒక సాధనంలో సరిగ్గా కనిపించే నమోదు మరొకదానిలో ఎందుకు ప్రభావం చూపదో వివరిస్తుంది.

చైన్ ఒక పాత్ర. కెర్నల్ దాన్ని పరిశీలిస్తుందో లేదో అమలు మరియు నియమ-సముదాయం దాన్ని ఎలా జోడిస్తుంది అనే దానిపై ఆధారపడి ఉంటుంది.

రెండు నమూనాలు, రెండు వేర్వేరు జోడింపులు

iptables లో filter పట్టిక మూడు అంతర్నిర్మిత చైన్లతో వస్తుంది, INPUT, FORWARD మరియు OUTPUT, మరియు -N వినియోగదారు నిర్వచించిన చైన్‌ను సృష్టిస్తుంది, అది వాటిలో ఒకదాని నుండి దానిపైకి దూకినప్పుడు మాత్రమే పని చేస్తుంది. nftables చేతిపుస్తకం బదులుగా తమ రకం, హుక్ మరియు ప్రాధాన్యతను ప్రకటించే ఆధార చైన్లను మరియు అలా చేయని సాధారణ చైన్లను నిర్వచిస్తుంది. ఆధార చైన్ ఏ పేరైనా తీసుకోవచ్చు, FORWARD అనే పేరున్న సాధారణ చైన్ దాని లేబుల్ నుండి ఎటువంటి లక్షణాన్ని పొందదు. అదే మొత్తం భేదం, మరియు నియమం పాఠ్యాన్ని మాత్రమే చూపే ట్యుటోరియల్‌లో అది కనిపించదు.

అనుకూలత బ్యాకెండ్లు ఆదేశ పేరు నుండి ప్రవర్తనను ఊహించకూడదనే రెండవ కారణాన్ని జోడిస్తాయి. iptables పత్రం iptables-nft కింద భిన్నంగా ఉండే కార్యకలాపాలను గుర్తిస్తుంది, కాబట్టి స్థానిక nftables, iptables-nft మరియు పాత నియమ-సముదాయాన్ని ఒకదాని మూడు అక్షరక్రమాలు కాదు, మూడు వ్యవస్థలుగా పరిగణించండి.

లోపాన్ని దాని నిజమైన సందర్భంలో చదవండి

గానుగ పట్టిక, అనుమతి వైఫల్యం, అందుబాటులో లేని కెర్నల్ సౌకర్యం మరియు గానుగ పేరున్న చైన్ నాలుగు వేర్వేరు కనుగొనడాలు, వాటిలో ఒకటి మాత్రమే చైన్ గురించి. సాధనం సంస్కరణ, అభ్యర్థించిన చిరునామా కుటుంబం మరియు పట్టిక, నెట్‌వర్క్ నేమ్‌స్పేస్ మరియు మొదటి ఖచ్చితమైన లోపాన్ని నమోదు చేయండి. తర్వాత నియమ-సముదాయం ఏ భాగానికి చెందినదో తనిఖీ చేయండి: ఫైర్‌వాల్ సేవ లేదా ఉత్పత్తి నిర్వహించే గేట్‌వే తమ సొంత చైన్లు మరియు క్రమాన్ని రూపొందించగలవు. వాటి పక్కన స్థానిక చైన్ జోడించడం నిర్వహిత విధానాన్ని తాకకుండా ఉంచి జాబితాను మరింత గందరగోళంగా చేస్తుంది.

కంటైనర్ నేమ్‌స్పేస్ హోస్ట్ కంటే భిన్నమైన నియమ-సముదాయాన్ని కలిగి ఉండవచ్చు, కాబట్టి తప్పు సందర్భంలో అమలు చేసిన ఆదేశం ఏ చైన్ ఫార్వర్డ్ ప్యాకెట్‌ను చూసిందో చూపలేదు. ఆశించిన చైన్ కనిపించలేదని అధికారాలను పెంచడం నిర్ధారణ కాదు.

కౌంటర్లు చేరుకోవడాన్ని నిరూపిస్తాయి, తీర్పును కాదు

నియమ కౌంటర్లు ఒక నియమం చేరుకోబడిందని చెబుతాయి. తర్వాతి నియమం కార్యకలాపాన్ని అనుమతించిందని అవి చెప్పవు, మరియు ప్రతి ప్రత్యామ్నాయ మార్గం తిరస్కరించబడిందని నిరూపించవు. ఒక హానికరం కాని అధికార పరవాహ సమయంలో, నియమ క్రమం మరియు చైన్ జోడింపుతో పాటు వాటిని చదవండి, తీర్పుగా కాకుండా ఒక పరిశీలనగా పరిగణించండి. drop నియమంపై సున్నా కాని కౌంటర్ అంటే ట్రాఫిక్ దాన్ని తాకింది; తాకని ట్రాఫిక్ గురించి అది ఏమీ చెప్పదు.

కెర్నల్ IP ఫార్వర్డింగ్ పూర్తిగా వేరే సెట్టింగ్. చైన్ ఉండటం ఫార్వర్డింగ్‌ను ప్రారంభించదు, మరియు తెలిసిన లేబుల్ లేకపోవడం ఫార్వర్డింగ్ ఆగిందని అర్థం కాదు.

మీరు రక్షించాలనుకునే ప్రవాహాన్ని వివరించండి

డీక్యాప్సులేషన్ తర్వాత ఒక క్లయింట్ అభ్యర్థనను రాయండి: దాని మూలం, గమ్యం, చిరునామా కుటుంబం, మరియు అది గేట్‌వే వద్ద ముగుస్తుందా లేదా దాని గుండా వెళ్తుందా. స్థానిక సేవ ఇన్‌పుట్ మరియు ఫార్వర్డ్ ట్రాఫిక్ వేర్వేరు బిందువుల వద్ద గమనించబడతాయి, కాబట్టి వాటికి వేర్వేరు నియమాలు మరియు వేర్వేరు పరీక్షలు అవసరం. బ్రిడ్జ్ చేసిన VPN కోసం బ్రిడ్జ్ మార్గాన్ని కూడా ధృవీకరించండి, ఎందుకంటే IP స్థాయి చైన్ ఈథర్నెట్ ఫ్రేమ్‌లను స్వయంచాలకంగా పర్యవేక్షించదు.

రిమోట్ గేట్‌వేను మార్చే ముందు స్వతంత్ర పునరుద్ధరణ ప్రాప్యతను కాపాడండి. తర్వాత అదే నియమ-సముదాయం కింద ఉద్దేశించిన ప్రవాహాన్ని మరియు అవసరమైన తిరస్కరణలను నిర్ధారించండి. తెలిసిన పేరుతో కొత్త ఖాళీ చైన్ మరమ్మతు కాదు.

పోలిక ఒక ప్రశ్నతో ముగుస్తుంది: ఈ ప్యాకెట్ కోసం కెర్నల్ నిజంగా ఏ హుక్‌ను పిలుస్తుంది? దానికి సమాధానం చెప్పండి, చైన్ పేరు ఇక ముఖ్యం కాదు.