حزمة جدار الحماية مثبتة، والقواعد اختفت بعد إعادة التشغيل

ثبتت الحزمة دون مشاكل، واختبرت القواعد، وبعد إعادة التشغيل التالية كانت البوابة مفتوحة على مصراعيها. لم يفشل شيء في العملية؛ كان الخلل في الافتراض بشأن ما سيستمر. تثبيت أدوات جدار الحماية، وتحديد القواعد التي ينبغي أن تبقى، واستعادتها في اللحظة الصحيحة، ثلاثة أعمال منفصلة.

ما الذي تخبرك به الأعراض فعلا

مجموعة القواعد التي تختفي عند إعادة التشغيل لها أحد ثلاثة أسباب: لم يحفظها أحد، أو استبدلها شيء آخر، أو أعيدت قبل وجود الشيء الذي تعتمد عليه. السببان الأولان ظاهران في الإعداد؛ والثالث لا يظهر إلا في الترتيب. لهذا قد تبدو إعادة التشغيل كفقدان بيانات بينما هي في الحقيقة مشكلة تسلسل.

ابدأ بتدوين ما كان صحيحا قبل إعادة التشغيل: أي خدمة كانت تحمل القواعد، وأي ملف أو قاعدة بيانات قرأته عند البدء، وهل كتب في ذلك المصدر يوما. مجموعة قواعد حية لم يحفظها أحد تفسير صالح وهو الأكثر شيوعا.

لا تبدأ بإعادة تثبيت الحزمة.

اقرأ أداة الاستمرارية قبل أن تستخدمها

تتعامل أدوات دبيان مع الاستمرارية كمشكلة إضافات: كل إضافة تعرف كيف تكتب قواعدها، ويلفها غلاف واحد. إجراء الحفظ لديها يخزن كل ما هو محمل في تلك اللحظة، وإجراء البدء يعيد تحميل تلك اللقطة. لا شيء في أي من الإجراءين يراجع ما يخزنه.

تلك لقطة، لا مراجعة. السماح المتبقي من جلسة تشخيص، أو تجربة نصف مكتملة، أو قاعدة متساهلة أدخلها مساعد آخر، كلها تصبح دائمة إلى جانب السياسة التي أردت الاحتفاظ بها. حفظ الحالة والموافقة على الحالة نشاطان مختلفان، وواحد فقط منهما يحتاج إلى حكم. اقرأ المجموعة المحملة أولا، ثم قرر أي السطور تستحق البقاء.

احفظ بوعي، بعد قراءة ما هو محمل.

حدد ما ينبغي أن يبقى

بعض القواعد تنتمي إلى دورة حياة واجهة وينبغي أن تختفي معها. وأخرى يجب أن تعيش أطول من النفق، وأوضح مثال على ذلك قيد يمنع حركة المرور الخاصة بالعميل من الرجوع إلى الواجهة الفيزيائية عند سقوط النفق. تحتاج هاتان الفئتان إلى محفزات استعادة مختلفة، لا إلى لقطة واحدة مشتركة.

اكتب النتيجة المقصودة لثلاث لحظات: الإقلاع، وتفعيل VPN، وفقدان النفق. ثم تحقق مما إذا كانت الأداة التي اخترتها قادرة على التعبير عن كل منها. حزمة استمرارية تعيد تحميل لقطة ثابتة تتناول الأولى وقد لا تتناول أيا من الأخريين، لأن اللقطة لا تعرف متى تغيرت حالة النفق. وإذا لم تستطع التعبير عنها، فالفجوة تنتمي إلى مكون آخر.

السياسة، لا الحزمة، هي التي تقرر الجواب.

افحص ترتيب الاستعادة

استعادة الملف ليست مثل امتلاك النتيجة. مدير آخر قد يستبدل القواعد، أو موافقة أسبق قد تحجبها، أو قد يبدأ العملاء الإرسال قبل أن يستقر القيد. راجع سلوك البدء وإعادة الاتصال، لا مجرد وجود ملف محفوظ.

systemctl status netfilter-persistent
iptables -S

لا تفترض أن إيقاف خدمة الاستمرارية غير مؤذ، لأن الحزمة توثق تفريغا مشروطا عند توقفها. أثبت الإعداد الفعلي للخدمة قبل استخدام الإيقاف أو إعادة التشغيل كتجربة على بوابة تديرها عن بعد. جلسة وحدة تحكم وطريق تراجع موثق هما الحد الأدنى قبل ذلك الاختبار.

الترتيب خاصية للنظام العامل، لا للملف على القرص.

اقبل ثلاث نتائج منفصلة

سجل تثبيت الحزمة، ومجموعة القواعد المحملة، والسياسة المطبقة، كوقائع منفصلة. اسم حزمة في موضوع دعم يجيب عن الأولى فقط، وهي التي نادرا ما تهم.

nft list ruleset

ثم اختبر عملية مسموحا بها ورفضا مطلوبا.

إذا صمد الرفض بعد إعادة التشغيل وبعد سقوط النفق، فالسياسة باقية. وإذا صمد في واحدة من تلك الحالتين فقط، فقد وجدت مشكلة الترتيب بدلا من أن تصلحها.