Рейтинг:0

Как правила маршрутизации из IPTables, IPVS и NFTables упорядочиваются с точки зрения прецедента в ядре Linux?

флаг co

Ядро Linux имеет возможность маршрутизировать трафик с помощью nftables, iptables и ipvs. Я собрал здесь 3 связанных вопроса, чтобы в целом задать более широкий общий вопрос о том, как определяется приоритет в отношении правил маршрутизации ядра и правил брандмауэра:

  • В общем, существует ли порядок приоритета при упорядочении этих конструкций балансировки нагрузки/фильтрации пакетов?
  • NFT и iptables при неправильном управлении с точки зрения установки могут привести к «коллизиям» (непредсказуемым результатам). Решение этой проблемы, похоже, заключается в том, чтобы установить iptables-legacy. Можно ли одновременно запускать и NFT, и iptables, и если да, то в каком порядке данные iptables «таблицы» (Mangle, Filter, NAT) будут применяться в отношении правил таблиц NFT?
  • IPVS может реализовать балансировку нагрузки. В общем, должно ли это происходить до или после применения правил iptables к входящему пакету?
  • Как firewalld играет во всем этом?
  • Как работает приоритет в отношении SELinux и этих различных правил?

Для контекста я недавно заметил, что некоторые правила iptables в системе, где был установлен NFT, не работали должным образом, и, хотя в Интернете есть отличные диаграммы того, как цепочки iptables по умолчанию упорядочены в отношении их резидентных таблиц, я стал любопытно, как можно было бы рассуждать об этих цепочках и их обходе, если бы присутствовали другие правила из NFT, IPVS, eBPF и т. д.

A.B avatar
флаг cl
A.B
Слишком много вопросов в вопросе. Для пули № 2 я ответил на UL SE по этой теме: https://unix.stackexchange.com/questions/607358/packet-processing-order-in-nftables/607391#607391, https://unix.stackexchange .com/questions/419851/when-and-how-to-use-chain-priorities-in-nftables/442659#442659 .
Рейтинг:0
флаг in

Это интерфейс командной строки для управления теми же правилами, которые хранятся в ядре. Любой приоритет является указанным или порядком ввода.

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.