Jẹ́ kí ìlànà nftables dúró ṣinṣin nígbà tí íńtáféísì VPN ń bọ̀

Àwọn ojú-ọ̀nà jẹ́ ohun tí a ń lò lẹ́ẹ̀kan; ìlànà kò gbọdọ̀ rí bẹ́ẹ̀. Ní ibi-àbáwọlé Linux, òfin nftables tí ó bá íńtáféísì ojú-ọ̀nà mu nípa orúkọ lè di ẹ̀rù rẹ̀ lẹ́ẹ̀kan, yóò sì máa ń ṣiṣẹ́ ní gbogbo ìgbà tí íńtáféísì yẹn bá farahàn. Íńtáféísì ṣì ní ìyí-ìgbésí-ayé: a dá a, ó ń pòórá, àwọn ipa-ọ̀nà àti ìtumọ̀ tí ó yí i ká sì ń tẹ̀lé ìtòlẹ́sẹẹsẹ wọn. Yíya àwọn olówó wọ̀nyí sọ́tọ̀ ni ó ń jẹ́ kí àǹfààní dúró ṣinṣin nígbà ìsopọ̀padà.

Ìbámu orúkọ ń gbé pẹ́ ju íńtáféísì lọ

nftables ń pèsè ìbámu atọ́ka íńtáféísì oní-nọ́mbà àti àwọn ìbámu orúkọ aláìyẹ̀ iifname àti oifname. Àwọn òfin tí ó ń lo orúkọ wọ̀nyí ń gbé wọlé dáadáa kódà nígbà tí a kò tíì dá ẹ̀rọ ojú-ọ̀nà, èyí tí ó jẹ́ gbogbo ohun tí àkójọ òfin nílò nígbà ìbẹ̀rẹ̀. Ìbámu ń dáwọ́ dúró bí wọ́n bá yí orúkọ íńtáféísì padà, yóò sì tún bẹ̀rẹ̀ nígbà tí íńtáféísì tuntun bá gba orúkọ yẹn. Atọ́ka oní-nọ́mbà kò ní irú ànímọ́ yẹn, ìdí niyì tí fọ́ọ̀mù orúkọ fi jẹ́ yíyàn àṣà fún ojú-ọ̀nà.

Orúkọ jẹ́ kọ́kọ́rọ́ ìbámu, kì í ṣe ẹ̀rí ẹni tí ó wà ní ìkángun kejì. Ìjẹ́rìí ẹlẹgbẹ́ ṣì jẹ́ iṣẹ́ VPN.

Ka ẹ̀wọ̀n kí o tó fi òfin kún

Wo ohun tí àkójọ òfin ní báyìí àti ibi tí òfin tuntun yóò gbé, nítorí ìtòlẹ́sẹẹsẹ ni ó ń pinnu àbájáde.

nft list ruleset
nft -c -f /etc/nftables.conf

Àkójọ náà ń fi ẹ̀wọ̀n, òfin àti ọwọ́ hàn, ìpò yẹ̀wò sì ń jẹ́rìí fáìlì olùdíje láìgbé e wọlé. Ìyọ̀ǹda ojú-ọ̀nà nìkan tí a gbé lẹ́yìn ìtẹ́wọ́gbà àtẹ̀yìnwá fún ṣíṣàn kan náà kò yí ohunkóhun padà, nítorí òfin àkọ́kọ́ tí ó bá mu ni ó ń ṣẹ́gun. Ìdí niyì tí òfin tí ó pẹ́ kò lè dàbí ẹni pé ó tọ̀nà láìní ipa. Ka ẹ̀wọ̀n náà lẹ́sẹẹsẹ kí o sì jẹ́rìí pé ìdínà fún ìrìnàjò láti ọ̀dọ̀ oníbàárà sí ìsopọ̀ òkè ṣì wà níwájú ohunkóhun tí ó gbòòrò jù.

Àwọn ipa-ọ̀nà, ìtumọ̀ àti ṣíṣàn ní olówó mìíràn

Wíwà íńtáféísì kò dá ipa-ọ̀nà kankan, kò sì jẹ́rìí ẹlẹgbẹ́. Àwọn wọ̀nyẹn jẹ́ ti alábòójútó VPN, nígbà tí ìtumọ̀ ní ìyí-ìgbésí-ayé kẹta.

conntrack -L -s 10.20.0.0/24 | head
ip route show dev vpn0

Àkójọ conntrack ń fi àwọn ṣíṣàn tí ó wà hàn pẹ̀lú iye ìpilẹ̀ àti iye tí a túmọ̀, àkójọ ipa-ọ̀nà sì ń fi ohun tí alábòójútó fi sínú fún íńtáféísì hàn. Àwọn òfin NAT ń dá ipò ìtọpinpin ìsopọ̀ ní àkọ́kọ́ pákẹ́ẹ̀tì, nítorí náà ṣíṣàn tí a ti dá yóò pa ìtumọ̀ rẹ̀ mọ́ kódà lẹ́yìn tí òfin bá yípadà. Ìdí niyì tí òfin tí a ń ṣe àtúnṣe àti ṣíṣàn tí ó ń lo ọ̀nà tuntun jẹ́ ọ̀rọ̀ méjì tí ó yàtọ̀. Pinnu àwọn ìpàdé tí ó gbọdọ̀ sopọ̀ mọ́ra, kí o sì fi àwọn ṣíṣàn tí kò ní í ṣe sílẹ̀.

Gba ìbẹ̀rẹ̀ tútù, àdánù àti ìmúpadàbọ̀sípò

Dán ibi-àbáwọlé wò nígbà tí ojú-ọ̀nà kò sí ní ìbẹ̀rẹ̀, lẹ́yìn náà nígbà tí ó wà, lẹ́yìn náà lẹ́yìn ìdánuṣe àti ìpadàbọ̀. Jẹ́rìí pé gbígbéjáde tí a kò gbà láyè ṣì ń di ìkọ̀ nígbà tí ojú-ọ̀nà kò sí, pé ṣíṣàn tuntun tí a gbà láyè ń ṣiṣẹ́ lẹ́yìn ìjẹ́rìí ẹlẹgbẹ́, àti pé ìmúpadàbọ̀sípò kò nílò pípa ipò tí kò ní í ṣe mọ́. Má ṣe pa gbogbo ẹ̀wọ̀n POSTROUTING tàbí gbogbo àkọsílẹ̀ conntrack rẹ́ gẹ́gẹ́ bí ìgbésẹ̀ ìdáwọ́ dúró fún ìpèlẹ́ kan, nítorí àwọn iṣẹ́ mìíràn ń pín wọn. Kọ ẹ̀yà tí ó yí íńtáféísì, ipa-ọ̀nà àti ìlànà padà, kì í ṣe pé kùkù ẹ̀rù ìbẹ̀rẹ̀ jáde pẹ̀lú òdo nìkan.

Ìlànà tí ó ye ìsopọ̀padà kọjá ni èyí tí a ti dárúkọ àwọn olówó rẹ̀ àti tí a ti dán àwọn òfin rẹ̀ wò pẹ̀lú ojú-ọ̀nà tí ó wà nísàlẹ̀ àti ní òkè. Kùkù tí ó ń ròyìn àṣeyọrí ń fi kìkì pé kùkù náà ti ṣiṣẹ́ hàn.