nftables: fi ofin igbanilaaye VPN sii ki o to drop handle

Fi ofin igbanilaaye si ibi ti ko tọ ati pe o huwa bi ẹnipe ko si ofin rara. Ninu nftables, yiyan laarin insert ati add ni o pinnu ẹgbẹ wo ti ofin ti a tọka si ti gbolohun tuntun yoo de, ati handle n pe ofin naa ninu ṣeto ofin alãye, kii ṣe nọmba ila rẹ. Ti ibi ba tọ, pakiti yoo kọkọ de drop.

Ifiwera ti o wa ni isalẹ n lo peer kan ti o wa titi ati iyipada olugbọ kan lati ita. O jẹ dín ni mimọ; yiyan gbogbo pq jẹ iyipada miiran pẹlu profaili ewu miiran.

Ibi meji, awọn abajade meji ti o yatọ

insert fi ofin sii ṣaaju ofin ti a tọka si. add fi a si lẹhin rẹ. Ti ofin ti a tọka si ba jẹ drop ikẹhin fun ṣiṣan naa, awọn aṣẹ meji wọnyi n fun awọn abajade ilodi si paapaa ti ọrọ ofin naa ba jẹ kanna.

Fifi ipo kan silẹ ni ihuwasi aiyipada tirẹ, eyi ti o jẹ idi miiran lati ma ṣe daakọ aṣẹ kan lati forum kan lai ka ohun ti o ti so mọ. Ẹkun ni gbogbo ipinnu naa. Kọ ẹgbẹ ti a pinnu ṣaaju ki o to tẹ aṣẹ naa. Ninu faili, insert ati add yatọ nipasẹ ọrọ kan.

Ipo naa jẹ ibatan si ofin kan ninu pq kan pato. Gbigbe gbolohun kanna si pq miiran tabi ipa hook miiran yipada iru awọn pakiti ti o rii, paapaa ti sintasi ofin naa ba dabi ẹnipe o tọ.

Handle n ṣe idanimọ ofin kan, kii ṣe nọmba ila

Handle bii 42 jẹ idanimọ ninu ipo lọwọlọwọ ti ṣeto ofin naa. Kii ṣe ofin kerindinlogun keji, ati pe ko duro laarin awọn olupin, awọn atunkọ tabi oluṣakoso ti o tun gbe iṣeto rẹ wọle.

Wa pq naa ati drop ikẹhin gangan ṣaaju yiyan ẹkun naa. Lẹhinna jẹrisi handle naa lori ofin yẹn ninu atokọ kanna ti o n fi drop han, ki nọmba ati ofin le ka pọ. Handle ti a ka lati atokọ atijọ le ti jẹ ti ofin miiran tẹlẹ. Ka a lẹẹkansi ninu igba ti yoo lo iyipada naa.

iptables --version
nft -a list ruleset

Ẹya iptables sọ iru backend ti a n lo. Ṣeto ofin iptables-nft ati tabili abinibi ti a n ṣakoso lọtọ le wa papọ, nitorinaa atokọ lati frontend kan kii ṣe aworan sisẹ ni kikun laifọwọyi. Ṣayẹwo awọn iwo mejeeji ṣaaju yiyan pq kan.

Wa pq naa ati ofin ti o n drop gangan

Ka input hook, ipa pq naa ati ofin ti o kọ ṣiṣan olugbọ yii. Tabili inet le gbe awọn idile adirẹsi mejeeji, ṣugbọn ofin kan ṣoṣo le tun ba IPv4 nikan mu.

Mu peer kan ti a fọwọsi, ni lilo 198.51.100.25 lati sakani iwe-ipamọ gẹgẹbi apẹẹrẹ. Faili abinibi ti a ṣayẹwo le fi igbanilaaye ita sii ṣaaju handle 42:

insert rule inet filter input handle 42 iifname "eth0" ip saddr 198.51.100.25 udp dport { 500, 4500 } counter accept

Lẹhin ayẹwo, rọpo idile, tabili, pq, handle, interface iwọle ati peer naa. Apẹẹrẹ naa n lo fọọmu ipo-handle ti a kọ silẹ fun nft 1.0.9, ati pe o wa ninu faili input; sisọ awọn akọmọ ni ọrọ miiran nigbati aṣẹ naa ba jẹ titẹ ni ibaraenisepo.

Jẹ ki eni iṣeto naa han gbangba. Oluṣakoso ti o tun kọ awọn ofin rẹ le kọ lori àtúnṣe akoko ṣiṣe, ati iwe afọwọkọ ibẹrẹ ti o fi handle atijọ pamọ yoo kuna tabi yoo fi ara mọ ofin ti ko tọ.

Igbanilaaye ni opin, drop jẹ ikẹhin

Idajọ igbanilaaye pari igbelewọn lori ọna lọwọlọwọ rẹ, ṣugbọn pq ipilẹ ti o wulo nigbamii le tun drop pakiti naa. Idajọ drop jẹ ikẹhin. Eyi ni idi ti iṣiro igbanilaaye ti n pọ si kii ṣe ẹri pe ṣiṣan naa ṣaṣeyọri.

Ṣayẹwo gbogbo awọn ipa hook ti o yẹ dipo pq kan ni ipinya. Pakiti le kọja àlẹmọ iwọle ati ṣi tun kọ nipasẹ hook tabili miiran ni ipa miiran. Ṣe akojọ gbogbo pq ipilẹ ti o le ri ṣiṣan naa.

Ofin yẹn bo iyipada olugbọ ita nikan. ESP ti a fi sinu gbigbe, ESP abinibi, awọn peer IPv6 ati ijabọ ti a ti yipada ninu oju eefin gbogbo wọn nilo eto imulo tiwọn. Eyi kii ṣe odi ina VPN aaye ti o pe.

Ṣayẹwo faili naa, lẹhinna jẹrisi abajade alãye

Ṣiṣe ayẹwo sintasi ati idunadura lori faili ti a ṣayẹwo ṣaaju lilo rẹ. Ipo ayẹwo sọ boya nft le ṣe itupalẹ ati mura iyipada naa; ko lo o ati ko fi idi rẹ mulẹ pe hook miiran yoo gba pakiti naa laaye. Faili naa wa bi imọran titi eni yoo fi lo:

nft -c -f reviewed-vpn-rule.nft

Lo o nipasẹ ilana iṣakoso ti eni naa ati tọju iraye si imularada. Ti ofin naa ba tọ, drop ti o n gbiyanju lati ṣaaju le ge ọna ti o n lo lati tun o.

Lẹhin iyipada, ṣe akiyesi igbiyanju peer ti a gba laaye tuntun ati ṣayẹwo pe awọn orisun ita peer ti a fọwọsi ṣi n kọ. Gbe ofin pipẹ si oluṣakoso ti o ni ṣeto ofin naa, nitori awọn handle akoko ṣiṣe n wa awọn ohun lọwọlọwọ dipo idanimọ wọn laarin awọn ibẹrẹ.