Ang pangalan ng chain ay hindi hook: iptables laban sa nftables

Parehong firewall ay nakakapag-filter ng ipinapasa-forward na trapiko ng VPN, at ikinakabit nila ang mga patakaran sa landas ng packet sa magkaibang paraan. May mga built-in na chain ang iptables sa loob ng isang table, kaya umiiral ang FORWARD bilang pinangalanang hook point. Hinihiwalay ng nftables ang pangalan ng chain mula sa uri, hook at priyoridad nito, ibig sabihin ay walang sinasala ang isang ordinaryong chain na pinangalanang FORWARD. Ipinapaliwanag ng paghahambing ng dalawang modelo kung bakit walang epekto sa isa ang isang entry na mukhang tama sa kabilang tool.

Ang chain ay isang lalagyan. Kung tinitingnan ito ng kernel ay depende sa implementasyon at sa kung paano ito ikinakabit ng set ng mga patakaran.

Dalawang modelo, dalawang magkaibang pagkakabit

Sa iptables, ang filter table ay may tatlong built-in na chain, INPUT, FORWARD at OUTPUT, at ang -N ay gumagawa ng chain na tinukoy ng user na gumagana lamang kapag tumalon dito mula sa isa sa mga iyon. Ang manwal ng nftables ay tumutukoy naman sa mga base chain, na nagpapahayag ng uri, hook at priyoridad, at mga ordinaryong chain, na hindi gumagawa nito. Maaaring magkaroon ng kahit anong pangalan ang isang base chain, at ang ordinaryong chain na pinangalanang FORWARD ay walang nakukuhang katangian mula sa label nito. Iyon ang buong pagkakaiba, at hindi ito nakikita sa tutorial na nagpapakita lamang ng teksto ng patakaran.

Ang mga backend ng pagiging tugma ay nagdaragdag ng ikalawang dahilan para hindi hinuha ang pag-uugali mula sa pangalan ng utos. Itinatala ng dokumentasyon ng iptables ang mga operasyong naiiba sa ilalim ng iptables-nft, kaya ituring ang native nftables, iptables-nft at lumang set ng patakaran bilang tatlong sistema at hindi tatlong baybay ng isa.

Basahin ang error sa tunay nitong konteksto

Ang nawawalang table, pagkabigo sa pahintulot, hindi magagamit na pasilidad ng kernel at nawawalang pinangalanang chain ay apat na magkaibang natuklasan, at isa lamang ang tungkol sa chain. Itala ang bersyon ng tool, ang hiniling na pamilya ng address at table, ang network namespace at ang unang eksaktong error. Pagkatapos ay tingnan kung aling bahagi ang may-ari ng set ng patakaran: ang serbisyo ng firewall o gateway na pinamamahalaan ng produkto ay maaaring gumawa ng sariling chain at pagkakasunod-sunod. Ang pagdaragdag ng native na chain sa tabi nila ay iniiwan ang pinamamahalaang patakaran na hindi nagalaw at ang imbentaryo ay mas nakakalito.

Ang namespace ng container ay maaaring may ibang set ng patakaran kaysa sa host, kaya ang utos na pinatakbo sa maling konteksto ay hindi maipapakita kung aling chain ang nakakita ng ipinasa-forward na packet. Ang pagtaas ng pribilehiyo dahil hindi nakita ang inaasahang chain ay hindi diagnosis.

Pinapatunayan ng mga counter ang pag-abot, hindi ang hatol

Sinasabi ng mga counter ng patakaran na naabot ang isang patakaran. Hindi nila sinasabi na pinahintulutan ng susunod na patakaran ang operasyon, at hindi nila pinapatunayan na tinanggihan ang bawat alternatibong landas. Basahin ang mga ito habang may isang walang peligrong awtorisadong daloy, kasama ang pagkakasunod-sunod ng patakaran at pagkakabit ng chain, at ituring na isang obserbasyon at hindi hatol. Ang counter na hindi sero sa isang drop na patakaran ay nangangahulugang tinamaan ito ng trapiko; wala itong sinasabi tungkol sa trapikong hindi tumama.

Ang IP forwarding ng kernel ay ganap na hiwalay na setting. Ang pagkakaroon ng chain ay hindi nagpapagana ng forwarding, at ang kawalan ng pamilyar na label ay hindi nangangahulugang huminto ang forwarding.

Ilarawan ang daloy na nais mong protektahan

Isulat ang isang kahilingan ng kliyente pagkatapos ng decapsulation: ang pinagmulan, destinasyon, pamilya ng address, at kung nagtatapos ito sa gateway o dumadaan dito. Ang input ng lokal na serbisyo at ipinasa-forward na trapiko ay nakikita sa magkaibang punto, kaya kailangan nila ng magkaibang patakaran at magkaibang pagsubok. Para sa naka-bridge na VPN, i-verify din ang landas ng tulay, dahil ang chain sa antas ng IP ay hindi awtomatikong nagmamatyag sa mga frame ng Ethernet.

Pangalagaan ang malayang pag-access para sa pagbawi bago baguhin ang malayong gateway. Pagkatapos ay kumpirmahin ang nilalayong daloy at ang mga kinakailangang pagtanggi sa ilalim ng parehong set ng patakaran. Ang bagong walang laman na chain na may pamilyar na pangalan ay hindi pag-aayos.

Nagtatapos ang paghahambing sa isang tanong: aling hook ang talagang tinatawag ng kernel para sa packet na ito? Sagutin iyon, at hindi na mahalaga ang pangalan ng chain.