nftables belgilari va VPN marshrutlash: qaysi qoida haqiqatan g‘olib chiqadi

nftables da o‘rnatilgan belgi trafikning bir sinfini tunnel orqali yuborishi kerak, ammo trafik jismoniy interfeysdan chiqishda davom etadi. Qoidalar to‘plami alohida ko‘rinishda to‘g‘ri ko‘rinadi. Odatda sodir bo‘lgan narsa — boshqa narsa xuddi shu belgini yozgan, yoki marshrutlash qoidasi yangi qiymat endi qanoatlantirmaydigan maskaga mos keladi.

Tekshiruv 1: yadro mos keladigan qoidani o‘qing

Firewalldan emas, siyosat qoidasidan boshlang. Yadro qoidalarni ustuvorlik tartibida ko‘rib chiqadi va birinchi moslik jadvalni belgilaydi. fwmark qiymatini va maskani qoidaning o‘zidan o‘qing, so‘ng o‘rnatgan belgingiz bor paket haqiqatan unga mos kelishini tasdiqlang. To‘liq 32 bitli qiymatni kutayotgan qoida faqat bitta bit olib yurgan paketga mos kelmaydi.

So‘ng o‘sha qoida qaysi jadvalni tanlashini va jadvalda nima borligini tasdiqlang. Bo‘sh jadvalga ishora qiluvchi qoida qidiruv muvaffaqiyatsizligini keltirib chiqaradi, bu ko‘p tizimlarda paketning keyingi qoidaga tushib, jismoniy interfeysdan chiqishini bildiradi.

Buni ikki buyruq hal qiladi: qoidalar ro‘yxati va o‘sha jadvaldagi manzil uchun marshrut qidiruvi.

Tekshiruv 2: paket belgisi yoki ulanish belgisi

nftables paketga belgi va ulanishlarni kuzatish yozuviga belgi qo‘yishi mumkin, va bular har xil obyektlar. Paket belgisi paketni qayta ishlash o‘tishi davomida yashaydi, ulanish belgisi esa oqim uchun saqlanadi va ataylab nusxalanishi kerak. Birini qo‘yib, ikkinchisini kutish keng tarqalgan yarim yechimdir.

Agar marshrutlash qoidasi paket belgisiga tayansa, yo‘lning keyingi qismida ulanish belgisini tiklash bu qaror uchun hech narsa qilmaydi, chunki qaror allaqachon qabul qilingan.

Marshrutlash signali qaysi obyektga tegishli ekanini aniqlang, so‘ng uni marshrutlash qarori qabul qilinadigan nuqtada o‘rnating.

Tekshiruv 3: bu belgini yana kim yozadi

WireGuard ning o‘z vositalari o‘z UDP paketlarini belgilaydi, shunda shifrlangan transport o‘zi tegishli bo‘lgan tunnelga qayta yo‘naltirilmaydi. Agar qoidalar to‘plamingiz o‘sha maydonga aloqasiz qiymat bersa, bu istisno yo‘qoladi va tunnelning tashqi trafigi o‘ziga kirishga urinadi. Alomat — o‘rnatilgach trafikni o‘tkazishni to‘xtatadigan tunnel.

Belgilar boshqa firewall vositalari, konteyner tarmoqlari va boshqa maqsadlar uchun siyosat marshrutlash tomonidan ham ishlatiladi, shuning uchun ikki quyi tizimning butun maydonni yozishi, har biri alohida to‘g‘ri bo‘lsa ham, ziddiyatdir.

Yana bittasini qo‘shishdan oldin yozuvchilarni sanab chiqing.

Tekshiruv 4: maska nima saqlashingizni hal qiladi

Belgi — 32 bitli maydon, maskalar esa uni bir necha egasi bo‘lishish usulidir. Maska bilan qiymat o‘rnatish sizga tegishli bo‘lmagan bitlarni saqlaydi; butun maydonni o‘rnatish boshqalarning bitlarini yo‘q qiladi. Maydonga tegadigan har bir qoidada maskani o‘qing, o‘zingiz yozmaganlarida ham.

Bit taqsimotini qoidalar to‘plami yonida hujjatlashtiring.

Aks holda keyingi odam allaqachon egasi bor qiymatni qayta ishlatadi va bu yerdagi ziddiyat manzil xatosi bo‘lsa-da, marshrutlash xatosidek ko‘rinadi. nftables ning paket metama’lumotlari haqidagi hujjati belgi amallarining o‘zini tasvirlaydi.

Tekshiruv 5: qidiruv bilan emas, haqiqiy oqim bilan tekshiring

Oddiy marshrut qidiruvi belgi olib yurmaydi, shuning uchun haqiqiy paketdan boshqa yo‘lni ko‘rsatishi mumkin. Sizni qiziqtirgan trafikni yarating va hisoblagichlarni, ulanishlarni kuzatish yozuvini va u haqiqatan chiqadigan interfeysni kuzating. Ham kiritilgan sinfni, ham chiqarib tashlangan sinfni sinab ko‘ring, chunki juda keng belgi istisnoni buzadi, ammo muvaffaqiyatli ko‘rinadi. Agar kiritilgan sinf ishlasa va chiqarib tashlangan sinf ham tunnelga kirsa, belgi juda tor emas, juda keng.

Jonli sessiya davomida yangilanishni majburlash uchun ulanish holatini tozalashdan saqlaning, chunki yangi va mavjud oqimlar qonuniy ravishda turli yo‘llarni egallashi mumkin.

Belgi, maska va jadvalni bir joyda qayd eting, shunda keyingi tahrir ko‘rib chiqiladigan bo‘ladi.