nftables గుర్తులు మరియు VPN రూటింగ్: ఏ నియమం నిజంగా గెలుస్తుంది

nftables లో పెట్టిన గుర్తు ఒక వర్గపు ట్రాఫిక్ను సొరంగం ద్వారా పంపాలి, కానీ ట్రాఫిక్ భౌతిక ఇంటర్ఫేస్ ద్వారానే బయటకు వెళ్తూనే ఉంటుంది. నియమాల సముదాయం విడిగా చూసినప్పుడు సరిగ్గా కనిపిస్తుంది. సాధారణంగా జరిగింది ఏమిటంటే మరేదో అదే గుర్తును రాసింది, లేదా కొత్త విలువ ఇకపై తీర్చని మాస్క్తో రూటింగ్ నియమం సరిపోతుంది.

తనిఖీ 1: కెర్నల్ సరిపోయే నియమాన్ని చదవండి

ఫైర్వాల్ నుండి కాదు, విధాన నియమం నుండి ప్రారంభించండి. కెర్నల్ నియమాలను ప్రాధాన్య క్రమంలో పరిశీలిస్తుంది మరియు మొదటి సరిపోలికే పట్టికను నిర్ణయిస్తుంది. నియమం నుండే fwmark విలువ మరియు మాస్క్ను చదవండి, ఆపై మీరు పెట్టిన గుర్తు ఉన్న ప్యాకెట్ నిజంగా దానికి సరిపోతుందో నిర్ధారించండి. పూర్తి 32-బిట్ విలువను ఆశించే నియమం ఒకే బిట్ మాత్రమే ఉన్న ప్యాకెట్తో సరిపోదు.

తర్వాత ఆ నియమం ఏ పట్టికను ఎంచుకుంటుంది మరియు పట్టికలో ఏమి ఉందో నిర్ధారించండి. ఖాళీ పట్టికను చూపే నియమం శోధన వైఫల్యాన్ని కలిగిస్తుంది, దీని అర్థం చాలా వ్యవస్థలలో ప్యాకెట్ తదుపరి నియమానికి పడి భౌతిక ఇంటర్ఫేస్ నుండి బయటకు వెళ్తుంది.

రెండు ఆదేశాలు దీన్ని తేలుస్తాయి: నియమాల జాబితా, మరియు ఆ పట్టికలో గమ్యానికి రూట్ శోధన.

తనిఖీ 2: ప్యాకెట్ గుర్తా లేక కనెక్షన్ గుర్తా

nftables ప్యాకెట్పై గుర్తును మరియు కనెక్షన్-ట్రాకింగ్ ఎంట్రీపై గుర్తును పెట్టగలదు, ఇవి వేర్వేరు ఆబ్జెక్ట్లు. ప్యాకెట్ గుర్తు ప్యాకెట్ ప్రాసెసింగ్ పాస్ సమయంలో జీవిస్తుంది, కనెక్షన్ గుర్తు ప్రవాహానికి కొనసాగుతుంది మరియు ఉద్దేశపూర్వకంగా కాపీ చేయాలి. ఒకటి పెట్టి మరొకటి ఆశించడం సాధారణ అర్ధ-పరిష్కారం.

రూటింగ్ నియమం ప్యాకెట్ గుర్తుపై ఆధారపడితే, మార్గంలో తర్వాత కనెక్షన్ గుర్తును పునరుద్ధరించడం ఆ నిర్ణయానికి ఏమీ చేయదు, ఎందుకంటే నిర్ణయం ఇప్పటికే జరిగిపోయింది.

రూటింగ్ సంకేతం ఏ ఆబ్జెక్ట్కు చెందుతుందో నిర్ణయించి, ఆపై రూటింగ్ నిర్ణయం తీసుకునే బిందువు వద్ద దాన్ని పెట్టండి.

తనిఖీ 3: ఈ గుర్తును ఇంకా ఎవరు రాస్తారు

WireGuard యొక్క స్వంత సాధనాలు తమ UDP ప్యాకెట్లను గుర్తు పెడతాయి, తద్వారా ఎన్క్రిప్ట్ చేసిన రవాణా తాను చెందిన సొరంగంలోకి తిరిగి రూట్ కాదు. మీ నియమాల సముదాయం అదే ఫీల్డ్కు సంబంధం లేని విలువ ఇస్తే, ఆ మినహాయింపు మాయమై సొరంగం బయటి ట్రాఫిక్ తనలోకి తాను ప్రవేశించడానికి ప్రయత్నిస్తుంది. లక్షణం ఏమిటంటే ఏర్పడిన తర్వాత ట్రాఫిక్ పంపడం ఆపేసే సొరంగం.

గుర్తులను ఇతర ఫైర్వాల్ సాధనాలు, కంటైనర్ నెట్వర్కింగ్ మరియు ఇతర అవసరాలకు విధాన-రూటింగ్ కూడా ఉపయోగిస్తాయి, కాబట్టి రెండు ఉపవ్యవస్థలు మొత్తం ఫీల్డ్ను రాయడం ప్రతిదీ విడిగా సరిగ్గా ఉన్నా ఘర్షణే.

మరొకటి జోడించే ముందు రచయితలను జాబితా చేయండి.

తనిఖీ 4: మీరు ఏమి ఉంచుకుంటారో మాస్క్ నిర్ణయిస్తుంది

గుర్తు 32-బిట్ ఫీల్డ్, మరియు మాస్క్లు అనేక యజమానులు దాన్ని పంచుకునే విధానం. మాస్క్తో విలువ పెట్టడం మీకు సొంతం కాని బిట్లను కాపాడుతుంది; మొత్తం ఫీల్డ్ పెట్టడం మిగతా అందరి బిట్లను నాశనం చేస్తుంది. ఫీల్డ్ను తాకే ప్రతి నియమంలో మాస్క్ను చదవండి, మీరు రాయని వాటిలో కూడా.

నియమాల సముదాయం పక్కన బిట్ కేటాయింపును నమోదు చేయండి.

లేకపోతే తదుపరి వ్యక్తి ఇప్పటికే యజమాని ఉన్న విలువను మళ్లీ ఉపయోగిస్తారు, ఇక్కడి ఘర్షణ చిరునామా బగ్ అయినా రూటింగ్ బగ్లా కనిపిస్తుంది. ప్యాకెట్ మెటాడేటా గురించి nftables పత్రం గుర్తు కార్యకలాపాలనే వివరిస్తుంది.

తనిఖీ 5: శోధనతో కాదు, నిజమైన ప్రవాహంతో ధృవీకరించండి

సాధారణ రూట్ శోధన గుర్తును కలిగి ఉండదు, కాబట్టి నిజమైన ప్యాకెట్ కంటే భిన్నమైన మార్గాన్ని చూపవచ్చు. మీకు ముఖ్యమైన ట్రాఫిక్ను ఉత్పత్తి చేసి కౌంటర్లు, కనెక్షన్-ట్రాకింగ్ ఎంట్రీ మరియు అది నిజంగా బయటకు వెళ్లే ఇంటర్ఫేస్ను గమనించండి. చేర్చిన వర్గం మరియు మినహాయించిన వర్గం రెండింటినీ పరీక్షించండి, ఎందుకంటే చాలా వెడల్పైన గుర్తు మినహాయింపును బద్దలు కొట్టి, అయినా విజయవంతంగా కనిపిస్తుంది. చేర్చిన వర్గం పనిచేసి మినహాయించిన వర్గం కూడా సొరంగంలోకి ప్రవేశిస్తే, గుర్తు సన్నగా కాదు, వెడల్పుగా ఉంది.

ప్రత్యక్ష సెషన్ సమయంలో రిఫ్రెష్ను బలవంతం చేయడానికి కనెక్షన్ స్థితిని ఖాళీ చేయడం మానుకోండి, ఎందుకంటే కొత్త మరియు ఉన్న ప్రవాహాలు చట్టబద్ధంగా వేర్వేరు మార్గాలు తీసుకోవచ్చు.

గుర్తు, మాస్క్ మరియు పట్టికను ఒకే చోట నమోదు చేయండి, అప్పుడు తదుపరి సవరణ సమీక్షించదగినదవుతుంది.