Firewallpakket geïnstalleer, reëls weg ná die herlaai

Die pakket het skoon geïnstalleer, die reëls is getoets, en ná die volgende herlaai was die poort heeltemal oop. Niks in die transaksie het gefaal nie; die fout het by die aanname gelê oor wat sou voortduur. Om firewallgereedskap te installeer, te besluit watter reëls moet oorleef en dit op die regte oomblik te herstel, is drie afsonderlike take.

Wat die simptoom jou eintlik sê

’n Reëlstel wat by herlaai verdwyn, het een van drie eienaars: niks het dit gestoor nie, iets anders het dit vervang, of dit is herstel voordat die ding waarvan dit afhang, bestaan het. Die eerste twee is in die konfigurasie sigbaar; die derde wys net in die ordening. Daarom kan ’n herlaai soos dataverlies lyk terwyl dit eintlik ’n volgordeprobleem is.

Begin deur neer te skryf wat waar was voor die herlaai: watter diens die reëls gehou het, watter lêer of databasis dit by die begin gelees het, en of daardie bron ooit geskryf is. ’n Lewendige reëlstel wat niemand gestoor het nie, is ’n geldige verklaring en die mees algemene een.

Moenie begin deur die pakket weer te installeer nie.

Lees die persistensiegereedskap voordat jy dit gebruik

Die Debian-gereedskap behandel persistensie as ’n inprop-probleem: elke inprop weet hoe om sy eie reëls te skryf, en een wikkel roep hulle. Sy stooraksie bewaar alles wat op daardie oomblik gelaai is, en sy beginaksie laai daardie momentopname terug. Niks in enige van die aksies hersien wat dit stoor nie.

Dit is ’n momentopname, nie ’n hersiening nie. ’n Oorblywende toelating uit ’n ontfoutingsessie, ’n halfvoltooide eksperiment of ’n toegeeflike reël wat ’n ander helper ingevoeg het, word almal permanent saam met die beleid wat jy wou behou. Om toestand te stoor en om toestand goed te keur, is verskillende aktiwiteite, en net een van hulle vereis oordeel. Lees eers die gelaai stel en besluit dan watter reëls verdien om te oorleef.

Stoor doelbewus, nadat jy gelees het wat gelaai is.

Bepaal wat moet oorleef

Sommige reëls hoort by ’n koppelvlaklewensiklus en moet daarmee verdwyn. Ander moet die tonnel oorleef, en die duidelikste voorbeeld is ’n beperking wat verhoed dat kliëntverkeer na die fisiese koppelvlak terugval wanneer die tonnel val. Daardie twee kategorieë het verskillende herstel-triggers nodig, nie een gedeelde momentopname nie.

Skryf die bedoelde resultaat vir drie oomblikke neer: opstart, VPN-aktivering en tonnelverlies. Kyk dan of die gereedskap wat jy gekies het elkeen kan uitdruk. ’n Persistensiepakket wat ’n statiese momentopname herlaai, hanteer die eerste en miskien nie een van die ander nie, want ’n momentopname het geen idee wanneer die tonneltoestand verander het nie. As dit hulle nie kan uitdruk nie, hoort die gaping in ’n ander komponent.

Die beleid, nie die pakket nie, besluit die antwoord.

Kontroleer die herstelorde

Om die lêer te herstel is nie dieselfde as om die resultaat te besit nie. ’n Ander bestuurder kan die reëls vervang, ’n vroeëre toelating kan hulle oorskadu, of kliënte kan begin stuur voordat die beperking intree. Hersien opstart- en herverbindingsgedrag, nie net die bestaan van ’n gestoorde lêer nie.

systemctl status netfilter-persistent
iptables -S

Moenie aanvaar dat dit onskadelik is om die persistensiediens te stop nie, want die pakket dokumenteer ’n voorwaardelike spoel wanneer dit stop. Bepaal die diens se werklike konfigurasie voordat jy stop of herbegin as ’n eksperiment op ’n poort gebruik wat jy op afstand bestuur. ’n Konsole-sessie en ’n gedokumenteerde terugrol is die minimum voor daardie toets.

Orde is ’n eienskap van die lopende stelsel, nie van die lêer op skyf nie.

Aanvaar drie afsonderlike resultate

Teken die pakketinstallasie, die gelaai reëlstel en die afgedwingde beleid as afsonderlike feite aan. ’n Pakketnaam in ’n ondersteuningsdraad beantwoord net die eerste, en dit is die een wat selde saak maak.

nft list ruleset

Toets dan ’n toegelate bewerking en ’n vereiste weiering.

As die weiering hou ná ’n herlaai en ná ’n tonnelverlies, oorleef die beleid. As dit net in een van daardie toestande hou, het jy die ordeningsprobleem gevind eerder as om dit reg te maak.