ชื่อเชนไม่ใช่ฮุก: iptables กับ nftables

ไฟร์วอลล์ทั้งสองสามารถกรองทราฟฟิก VPN ที่ส่งต่อได้ และผูกกฎเข้ากับเส้นทางแพ็กเก็ตต่างกัน iptables มีเชนในตัวอยู่ภายในตาราง ดังนั้น FORWARD จึงมีอยู่เป็นจุดฮุกที่มีชื่อ nftables แยกชื่อเชนออกจากชนิด ฮุก และลำดับความสำคัญ ซึ่งหมายความว่าเชนธรรมดาที่ชื่อ FORWARD ไม่กรองสิ่งใดเลย การเปรียบเทียบทั้งสองแบบอธิบายว่าเหตุใดรายการที่ดูถูกต้องในเครื่องมือหนึ่งจึงไม่มีผลในอีกเครื่องมือหนึ่ง

เชนเป็นภาชนะ เคอร์เนลจะพิจารณาหรือไม่นั้นขึ้นอยู่กับการนำไปใช้และวิธีที่ชุดกฎผูกมันไว้

สองแบบ สองวิธีผูกที่ต่างกัน

ใน iptables ตาราง filter มาพร้อมเชนในตัวสามเชน คือ INPUT, FORWARD และ OUTPUT และ -N สร้างเชนที่ผู้ใช้กำหนดซึ่งมีผลก็ต่อเมื่อกระโดดไปหาจากหนึ่งในนั้น คู่มือ nftables กลับนิยามเชนฐานซึ่งประกาศชนิด ฮุก และลำดับความสำคัญ และเชนธรรมดาซึ่งไม่ได้ประกาศสิ่งเหล่านั้น เชนฐานจะใช้ชื่อใดก็ได้ และเชนธรรมดาที่ชื่อ FORWARD ไม่ได้คุณสมบัติใด ๆ จากป้ายชื่อของมัน นั่นคือความต่างทั้งหมด และมองไม่เห็นในบทแนะนำที่แสดงเพียงข้อความของกฎ

แบ็กเอนด์ความเข้ากันได้เพิ่มเหตุผลที่สองที่จะไม่สรุปพฤติกรรมจากชื่อคำสั่ง เอกสารของ iptables ระบุการดำเนินการที่ต่างออกไปภายใต้ iptables-nft ดังนั้นให้ถือว่า nftables ดั้งเดิม iptables-nft และชุดกฎแบบเก่าเป็นสามระบบ ไม่ใช่สามการสะกดของระบบเดียว

อ่านข้อผิดพลาดในบริบทจริงของมัน

ตารางที่หายไป ความล้มเหลวด้านสิทธิ์ ความสามารถของเคอร์เนลที่ไม่พร้อมใช้ และเชนที่มีชื่อซึ่งหายไปเป็นสี่สิ่งที่พบต่างกัน และมีเพียงหนึ่งเดียวเกี่ยวกับเชน บันทึกเวอร์ชันเครื่องมือ ตระกูลที่อยู่และตารางที่ร้องขอ เนมสเปซเครือข่าย และข้อผิดพลาดแรกที่แม่นยำ จากนั้นตรวจสอบว่าองค์ประกอบใดเป็นเจ้าของชุดกฎ บริการไฟร์วอลล์หรือเกตเวย์ที่ผลิตภัณฑ์จัดการอาจสร้างเชนและลำดับของตัวเอง การเพิ่มเชนดั้งเดิมข้าง ๆ สิ่งเหล่านั้นทำให้แนวนโยบายที่จัดการอยู่ไม่ถูกแตะต้องและทำให้บัญชีรายการสับสนยิ่งขึ้น

เนมสเปซของคอนเทนเนอร์อาจมีชุดกฎต่างจากโฮสต์ ดังนั้นคำสั่งที่รันในบริบทผิดจึงไม่สามารถแสดงว่าเชนใดเห็นแพ็กเก็ตที่ส่งต่อ การเพิ่มสิทธิ์เพราะมองไม่เห็นเชนที่คาดไว้ไม่ใช่การวินิจฉัย

ตัวนับพิสูจน์การเข้าถึง ไม่ใช่คำตัดสิน

ตัวนับกฎบอกคุณว่ามีการเข้าถึงกฎหนึ่ง แต่ไม่บอกว่ากฎถัดไปอนุญาตการดำเนินการ และไม่พิสูจน์ว่าเส้นทางทางเลือกทั้งหมดถูกปฏิเสธ อ่านระหว่างการไหลที่ได้รับอนุญาตและไม่เป็นอันตรายหนึ่งครั้ง พร้อมลำดับกฎและการผูกเชน และถือเป็นการสังเกตหนึ่งครั้งไม่ใช่คำตัดสิน ตัวนับที่ไม่เป็นศูนย์บนกฎ drop หมายความว่าทราฟฟิกชนมัน ไม่ได้กล่าวสิ่งใดเกี่ยวกับทราฟฟิกที่ไม่ได้ชน

การส่งต่อ IP ของเคอร์เนลเป็นการตั้งค่าแยกต่างหากโดยสิ้นเชิง การมีเชนอยู่ไม่ได้เปิดใช้การส่งต่อ และการไม่มีป้ายที่คุ้นเคยไม่ได้หมายความว่าการส่งต่อหยุดลง

อธิบายการไหลที่คุณต้องการปกป้อง

เขียนคำขอของไคลเอนต์หนึ่งรายการหลังการถอดห่อหุ้ม: แหล่งที่มา ปลายทาง ตระกูลที่อยู่ และว่าจะสิ้นสุดที่เกตเวย์หรือผ่านมันไป อินพุตของบริการภายในและทราฟฟิกที่ส่งต่อถูกสังเกตที่จุดต่างกัน ดังนั้นจึงต้องใช้กฎและการทดสอบต่างกัน สำหรับ VPN แบบบริดจ์ ให้ตรวจสอบเส้นทางบริดจ์ด้วย เพราะเชนระดับ IP ไม่ได้ควบคุมเฟรมอีเทอร์เน็ตโดยอัตโนมัติ

รักษาการเข้าถึงเพื่อกู้คืนที่เป็นอิสระก่อนเปลี่ยนเกตเวย์ระยะไกล จากนั้นยืนยันการไหลที่ตั้งใจและการปฏิเสธที่จำเป็นภายใต้ชุดกฎเดียวกัน เชนว่างใหม่ที่มีชื่อคุ้นเคยไม่ใช่การซ่อม

การเปรียบเทียบจบลงที่คำถามเดียว: เคอร์เนลเรียกฮุกใดจริง ๆ สำหรับแพ็กเก็ตนี้ ตอบคำถามนั้น แล้วชื่อเชนก็ไม่สำคัญอีกต่อไป