UFW యొక్క before.rules లో VPN NAT ఎక్కడ ఉండాలి మరియు దాన్ని ఎలా పరీక్షించాలి

షెల్‌లో టైప్ చేసినప్పుడు పని చేసే NAT నియమం before.rules లో అతికించినప్పుడు విఫలమవుతుంది, ఎందుకంటే ఆ ఫైల్ స్క్రిప్ట్ కాదు. ఇది పట్టిక విభాగాలు, చైన్ ప్రకటనలు మరియు ప్రతి పట్టికకు COMMIT గుర్తు ఉన్న పునరుద్ధరణ ఆకృతి పత్రం. తప్పు స్థలంలో ఉన్న పంక్తి మొత్తం పునరుద్ధరణను ఆపుతుంది లేదా మీరు ఉన్నాయని భావించిన నియమాలను నిశ్శబ్దంగా వదిలివేస్తుంది. క్రింది రన్‌బుక్ ముక్కను ఫ్రేమ్‌వర్క్ ఆశించే చోట ఉంచి తదుపరి రీలోడ్‌కు ముందు ఫలితాన్ని నిరూపిస్తుంది.

షెల్ ఆదేశం పునరుద్ధరణ ఫైల్ కాదు

iptables -t nat తో ప్రారంభమయ్యే పంక్తి iptables బైనరీకి సూచన, అయితే UFW చదివే ఫైల్ పూర్తి నియమాల సమితి వివరణ. తేడా అలంకారికం కాదు: పునరుద్ధరణ ఆకృతి ఏ పట్టికలో ఉంది, ఏ చైన్లు ఉన్నాయి మరియు పట్టిక ఎక్కడ ముగుస్తుంది అని తెలుసుకోవాలి. ఆ పత్రంలో అతికించిన ఆదేశం లేదా వ్యాకరణ లోపం లేదా, అంతకంటే దారుణంగా, తప్పు పట్టికకు జోడించిన నియమం. ఫ్రేమ్‌వర్క్ ఈ ఫైళ్లను పునరుద్ధరణ సాధనాల ద్వారా లోడ్ చేయడం వాటి స్వభావం క్రమానుగతం కాకుండా ప్రకటనాత్మకం కావడం వల్లనే.

పత్రం మొత్తంగానూ లోడ్ అవుతుంది, కాబట్టి ఒక వికృత విభాగం మిగిలిన ఫైల్ వర్తించకుండా ఆపగలదు. అందువల్ల NAT ముక్కలోని చిన్న పొరపాటు ఫిల్టర్ నియమాలను కూడా జతగా కిందకు లాగుతుంది, అలా ఫైర్‌వాల్ మార్పు అంతరాయంగా మారుతుంది.

ముక్కను ఉన్న పట్టిక విభాగం లోపల ఉంచండి

NAT ముక్కకు ఒక ఆకారం ఉంది, ఆకారం లోపలి నియమ పాఠ్యం కంటే ముఖ్యం. పట్టిక శీర్షిక విభాగాన్ని తెరుస్తుంది, చైన్ ప్రకటనలు కౌంటర్లను ఏర్పాటు చేస్తాయి, నియమాలు అనుసరిస్తాయి, COMMIT విభాగాన్ని మూస్తుంది.

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.55.0.0/24 -o ens3 -j MASQUERADE
COMMIT

పైన ఉన్న పూల్ మరియు ఇంటర్‌ఫేస్ మీ విలువలకు ప్రత్యామ్నాయాలు; కాపీ చేయదగిన భాగం నిర్మాణం. ఫైల్‌లో ఇప్పటికే *nat విభాగం ఉంటే, రెండవది తెరవకుండా అదే విభాగం లోపల నియమాన్ని జోడించండి, ఎందుకంటే ఆకృతి ప్రతి పట్టికకు ఒక COMMIT ఆశిస్తుంది మరియు ఒకే పట్టికకు రెండు విభాగాలు సంభవించాలని ఎదురుచూస్తున్న మరమ్మత్తు. పంపిణీ చైన్ నిర్వచనాలను అలాగే ఉంచండి, విక్రేత తన స్వంత ఏకీకరణ కోసం జోడించినవి కూడా. UFW ఫ్రేమ్‌వర్క్ మాన్యువల్ before, user మరియు after ఫైళ్లను సరిపోలే COMMIT అవసరంతో పాటు నమోదు చేస్తుంది.

ఫైల్ ఖాళీగా తేలితే, ట్యుటోరియల్ నుండి నింపవద్దు. ఏ ప్యాకేజీ దాని యజమాని మరియు నిజమైన ప్రత్యక్ష విధానం ఏమిటో నిర్ధారించండి, ఎందుకంటే ఖాళీ శాశ్వత ఫైల్ కర్నెల్‌లో నియమాలు లేవని నిరూపించదు, లోడ్ చేసిన నియమాల సమితి తదుపరి రీలోడ్‌కు చదవడానికి పూర్తి ఫైల్ ఉంటుందని నిరూపించదు. మొదట మద్దతు ఉన్న ఆధార రేఖను పునరుద్ధరించి, తర్వాత సైట్ మార్పులను దానిపై మళ్లీ వర్తింపజేయండి.

వర్తింపజేయకుండా అభ్యర్థిని పరీక్షించండి

పునరుద్ధరణ సాధనం నియమాల సమితిని వర్తింపజేయకుండానే విశ్లేషించి నిర్మించగలదు, ఇది అందుబాటులో ఉన్న చవకైన పరీక్ష. దాన్ని ప్రత్యక్ష ఫైల్‌పై కాకుండా రక్షిత నకలుపై అమలు చేయండి, మరియు నిష్క్రమణ స్థితి మాత్రమే కాకుండా లోప పాఠ్యాన్ని చదవండి. విశ్లేషణ వైఫల్యం ఒక పంక్తిని మరియు సాధారణంగా ఒక పట్టికను పేర్కొంటుంది, ఇది విఫలమైన రీలోడ్ చెప్పే దానికంటే ఎక్కువ.

sudo cp /etc/ufw/before.rules /root/before.rules.bak
sudo iptables-restore --test < /root/before.rules.bak
echo "exit: 0"

ఆ తనిఖీని దాటడం పత్రం విశ్లేషించబడుతుందని మాత్రమే నిరూపిస్తుంది, అంతకంటే ఏమీ లేదు. అభ్యర్థి ఇప్పటికీ UFW ఆధారపడే ప్రతి చైన్‌ను కలిగి ఉందని, మీరు ఉద్దేశించిన మూలాలకు మాత్రమే అనుమతి ఇస్తుందని, లేదా దూర నిర్వహణ అందుబాటులో ఉంటుందని అది నిరూపించదు. ఇవి వేర్వేరు సమీక్షలు, చివరిది ప్రారంభించే ముందు తెరిచే రెండవ సెషన్‌కు అర్హం.

స్థాపించిన బ్యాకెండ్ మరియు చిరునామా కుటుంబానికి సరిపోయే సాధనాన్ని ఎంచుకోండి. అనుకూలత పొర ద్వారా nft బ్యాకెండ్ నడిపే హోస్ట్‌కు సంబంధిత ఆదేశం అవసరం, IPv6 నియమాలు పూర్తిగా వేరే ఫైల్‌లో నివసిస్తాయి.

ఫార్వర్డింగ్, NAT మరియు యాక్సెస్ విధానాన్ని వేరుగా ఉంచండి

మూల అనువాదం చిరునామా సమస్యను పరిష్కరిస్తుంది, ఏమీ ఇవ్వదు. ఫార్వర్డింగ్ sysctl మరియు ఫిల్టర్ పట్టిక నియంత్రించే ప్రత్యేక అనుమతి, టన్నెల్ మార్గం చేసినా ట్రాఫిక్ దాటించనప్పుడు ప్రజలు దీన్నే మరచిపోతారు. యాక్సెస్ విధానం ఏ మూలాలు ఏ సేవలను చేరుకోగలవు అనే మూడవ నిర్ణయం, ఏ NAT నియమం దాన్ని వ్యక్తపరచదు. ఈ మూడింటిని వేరుగా ఉంచడమే ఒక అస్పష్ట లక్షణానికి బదులు వైఫల్యాన్ని నిర్ధారణ చేయగలిగేలా చేస్తుంది.

sysctl net.ipv4.ip_forward
sudo iptables -t nat -S POSTROUTING
sudo iptables -S FORWARD

ఆ మూడు అవుట్‌పుట్‌లను ఒకటిగా చదవండి, ఒక్కొక్కటిగా కాదు. ఫార్వర్డింగ్ నిలిపివేసిన masquerade నియమం కనెక్ట్ అయినా ఎక్కడికీ చేరని క్లయింట్‌ను సృష్టిస్తుంది, ఇది క్లయింట్ వైపు నుండి సరిగ్గా మార్గ లోపంలా కనిపించి ప్రజలను తప్పు ఫైల్‌కు పంపుతుంది. ఫిల్టర్ పట్టిక చాలా వెడల్పైన accept దాక్కునే చోటు కూడా, కాబట్టి అక్కడ ఉన్నప్పుడు దాని డిఫాల్ట్ విధానాన్ని తనిఖీ చేయండి.

రీలోడ్, తిరస్కరణ మరియు VPN నష్టాన్ని ధృవీకరించండి

మూడు పరిశీలనలు పూర్తి ఆమోద పరీక్షను ఏర్పరుస్తాయి: రీలోడ్ విజయవంతమవుతుంది, అనుమతించిన క్లయింట్ ఆపరేషన్ పని చేస్తుంది, మరియు తిరస్కరించాల్సిన అభ్యర్థన నిజంగా తిరస్కరించబడుతుంది. మూడవదే విస్మరించబడేది, విధానం ఏదైనా చేస్తోందనడానికి అదే ఏకైక సాక్ష్యం.

sudo ufw reload
sudo ufw status verbose
sudo iptables -t nat -L POSTROUTING -n -v

తర్వాత మీరు రూపకల్పన చేసిన వైఫల్యాన్ని పరీక్షించండి. టన్నెల్ కిందకు దించి హోస్ట్ ఏమి చేస్తుందో గమనించండి, ఎందుకంటే VPN నడుస్తున్నప్పుడు మాత్రమే పని చేసే విధానం చెప్పని ఆధారపడటం ఉన్న విధానం. ఆ తర్వాత మరోసారి రీలోడ్ చేసి, పని చేసే ఫలితాన్ని మిగిలిన నడుస్తున్న స్థితి కాదు, ఫైలే ఇస్తుందని నిరూపించండి.

IPv4 యొక్క NAT IPv6 గురించి ఏమీ చెప్పదు, కాబట్టి నియమంతో పాటు అదే గమనికలో రెండు కుటుంబాలకు ఉద్దేశించిన పరిధిని పేర్కొనండి. లక్ష్యం సుసంగత నిర్వహిత విధానం, యాదృచ్ఛికంగా విశ్లేషించబడిన ముక్క దానికి సాక్ష్యం కాదు.