ฉันกำลังทำงานบน Rocky Linux (ใช้ RHEL8) และค่อนข้างลำบากกับ firewalld และ iptables ยังไงก็ไม่ใช่ iptables อยู่ดี ให้ฉันอธิบาย
ฉันตั้งค่าคลัสเตอร์ K8S บน VMWare ESXi ด้วยเครื่องเสมือนหกเครื่อง เหมือนกันทั้งหมด ฉัน ความต้องการ เพื่อให้ไฟร์วอลล์ทำงานโดยพิจารณาจากสภาพแวดล้อมนี้ ฉันใช้ Weave CNI ซึ่งใช้ iptables เพื่อสร้างกฎเครือข่าย
นี่คือการค้นพบครั้งแรกของฉัน:
iptables -V ผลลัพธ์ที่ให้ฉัน iptables v1.8.4 (nf_tables)ไฟร์วอลล์แบ็กเอนด์)ไม่พบ iptables.service)ตามความเข้าใจของฉันเกี่ยวกับ firewalld เนื่องจากมันใช้ nftables จึงไม่ควรล้าง iptables เลยตามที่พวกเขา โพสต์บล็อก เกี่ยวกับแบ็กเอนด์ nftables
เมื่อ weave ตั้งกฎ iptables (สำหรับการกำหนดเส้นทางและนโยบายเครือข่าย) ฉันสามารถดูได้ด้วย iptables-บันทึก หรือ ชุดกฎรายการ nft. ซึ่งหมายความว่า แม้ว่า weave จะใช้ iptables เพื่อตั้งกฎ แต่ความจริงแล้ว พวกมันถูกตั้งค่าเป็น nftable
ตอนนี้ปัญหาของฉันคือถ้าฉันโหลดไฟร์วอลล์ใหม่ (ด้วย ไฟร์วอลล์ cmd --reload หรือ systemctl โหลด firewalld.service ใหม่) หลังจากสานตั้งกฎ กฎทั้งหมดถูกล้าง! ฉันสามารถยืนยันได้ว่า iptables-บันทึก หรือ ชุดกฎรายการ nft.
อาจเกี่ยวข้องกับการใช้ iptables คำสั่งแทน เอ็นเอฟที? แม้ว่า iptables จะใช้แบ็กเอนด์ nf_tables ก็ตาม
โปรดทราบว่าปัญหานี้ได้รับการแก้ไขบางส่วนโดยการสาน เนื่องจากกฎเหล่านี้ตรวจสอบกฎเพื่อดูว่ายังมีสายโซ่พิเศษ (ว่าง) ของ WEAVE-CANARY อยู่หรือไม่ หากไม่มี ระบบจะสร้างเส้นทางการกำหนดเส้นทางใหม่ แต่ไม่มีการดำเนินการใดๆ สำหรับกฎนโยบายเครือข่าย ปัจจุบันนี้ก คำขอคุณสมบัติ.
ทางออกที่เป็นไปได้คืออะไร? ฉันคิดเกี่ยวกับการเชื่อมต่อกับบริการ firewalld เพื่อเพิ่ม ExecStopPre และ ExecReloadPre เพื่อบันทึกกฎอื่นๆ นอกเหนือจากกฎของไฟร์วอลล์ /etc/sysconfig/nftables.conf (หรือไฟล์อื่นที่รวมอยู่ในนั้น) แต่มันค่อนข้างแฮ็กและฉันก็ไม่ชอบ “โซลูชัน” นี้ นอกจากนี้ ฉันไม่แน่ใจด้วยซ้ำว่าจะได้ผล เนื่องจากบริการ nftables หยุดทำงาน
แก้ไข: ฉันทำการทดสอบและพฤติกรรมบางอย่างแปลกจริงๆ
ฉันเพิ่มกฎด้วย iptables: iptables -I อินพุต 3 -s 10.1.1.9 -j DROPจากนั้นโหลดไฟร์วอลล์ใหม่และกฎก็ไม่มีอีกต่อไป!
ฉันพยายามเช่นเดียวกันกับ เอ็นเอฟที: nft เพิ่มกฎตัวกรอง ip INPUT ip saddr 10.1.1.9 dropโหลดไฟร์วอลล์ใหม่และผลลัพธ์ก็เหมือนเดิมâ¦
นี่ทำให้ฉันคลั่ง ไฟร์วอลล์ไม่ควรแตะต้องตารางกฎอื่นนอกจากของตัวเอง แต่นี่ไม่ใช่กรณี!
แหล่งที่มา: GitHub ออกคำตอบจากผู้ทำงานร่วมกันของไฟร์วอลล์
มีสองสามสิ่งที่เกิดขึ้นที่นี่
iptables จะเพิ่มกฎให้ nftable ในตารางที่รู้จัก: กรอง, แนท, ดิบฯลฯiptables กฎ (เช่น ตัวกรอง iptables -F -t) ซึ่งล้างสายโซ่ทั้งหมดใน กรอง ตาราง. ซึ่งสอดคล้องกับที่ทราบ nftable ชื่อตารางดังกล่าวข้างต้นไฟร์วอลล์ของ nftable แบ็กเอนด์ เท่านั้น สัมผัส ไฟร์วอลล์ โต๊ะแต่โต๊ะ กรอง, แนท, ดิบฯลฯ ถูกสัมผัสทางอ้อมผ่าน iptables-nft เพื่อรองรับกฎโดยตรงของ iptables ลักษณะการทำงานนี้ไม่สามารถเปลี่ยนแปลงได้เนื่องจากความเข้ากันได้ Firewalld จะไม่แตะต้องผู้อื่น nftable แม้ว่าตารางเช่น ตารางชื่อ ฟูบาร์ จะได้ไม่หน้าแดง
น่าเสียดายที่เราไม่สามารถทำอะไรได้ที่นี่ เราก) รักษาความเข้ากันได้และปล่อยให้ iptables ตารางที่มีชื่อจะถูกล้างหรือ b) หล่น iptables การสนับสนุนกฎโดยตรง ตัวเลือก A เป็นมิตรกับผู้ใช้มากที่สุด
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
