Özünüzü kənarda qoymadan firewall dəyişikliklərini sınaqdan keçirin

Qayda tətbiq olunur, artıq açıq olan terminal cavab verməyə davam edir və növbəti giriş rədd edilir. Bu boşluq firewall dəyişikliyini dəyişdirdiyiniz bağlantı üzərindən sınaqdan keçirməyin bütün çətinliyidir. Bağlantı izləmə bir dəfə qərar verir və sonra baxmağı dayandırır, buna görə mövcud axın yeni siyasəti görə bilməyən yeganə yoxlamadır. Aşağıda geri qayıtmağın üç yolu müqayisə edilir, sonra qaydaların hansı ardıcıllıqla dəyişdirilib yoxlanacağı müəyyən edilir.

Niyə sağ qalan sessiya ən zəif sübutdur

Vəziyyətli firewall axının ilk paketini qiymətləndirir və bu hökmü qeyd mövcud olduğu müddətcə saxlayır. Sonradan əlavə edilən qaydalar daha sonra başlayan axınlara aiddir, buna görə sizin yazdığınız pəncərə istifadə oluna bilən qalır, hamı isə rədd edilir. Oradan öyrəndiyiniz hər şey bir neçə dəqiqə əvvəl qüvvədə olan siyasəti təsvir edir. Hətta həmin axın üzərində götürülmüş tutma da maşının artıq verdiyi qərarı göstərir.

İşləyən sessiyaya ölçmə kimi deyil, qaçış lyuku kimi baxın. Hər faydalı yoxlama yeni qaydanın qiymətləndirəcəyi mənbədən yeni axın açmalıdır, ilk yoxlama isə uğursuz olması ən ağrılı olan yoxlama olmalıdır. O sessiya içəri girməyin yeganə yolu olduqda, dəyişiklik hələ edilməyə hazır deyil.

Geri qayıtmağın üç yolu, hər birinin nədən asılı olduğuna görə sıralanır

Seçimləri sınaqdan keçirilən cihazdan nə qədər asılı olduqlarına görə sıralayın, çünki qayda səhv çıxdıqda əl atdığınız şey məhz bu sıralamadır. Firewalldan heç vaxt keçməyən konsol müstəqildir, məşq edilmiş geri qaytarma demək olar ki, elədir, artıq açıq olan sessiya isə deyil.

Dəyişiklikdən əvvəl konsol vasitəsilə daxil olun və işlədiyini sübut edin, çünki heç vaxt istifadə etmədiyiniz bantdan kənar yol geri çəkilmə deyil, sadəcə diaqramdır. Geri qaytarma yalnız həmin platformada, həmin qaydalar dəsti ilə, canlı maşında improvizasiya əvəzinə təsdiqlənmiş prosedura uyğun məşqdən sonra yerini qazanır. Addımları yazın və başqası sizə səslə oxusun. Əgər ardıcıllığı tamamlamaq üçün yaddaşınız lazımdırsa, bu plan deyil.

Bir dəyişiklik, sonra qiymətləndirilməli olan bağlantı

Canlı qaydalar dəstini və ona sahib olan faylı saxlayın, sonra tək və dar bir düzəliş edin. Hər sınaqda bir dəyişiklik nəticəni izlənə bilən saxlayır; eyni anda iki dəyişiklik işləyən maşın və hansı düzəlişin iş gördüyü barədə heç bir fikir qoymur. Platforma konfiqurasiyanı yükləmədən təhlil edə bildikdə bunu əvvəlcə edin ki, yazı səhvi ortada heç bir risk yoxkən üzə çıxsın.

nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.conf

Sonra konsol hələ qoşulmuşkən, dəyişdirilmiş qaydanın uyğun gələcəyi mənbədən yeni sessiya başlayın. Uğurlu olsa, bir dəfə təkrarlayın, çünki ilk cəhd cədvəlin artıq saxladığı qeydə düşə bilər. Uğursuz olsa, içəri girmək üçün yolunuz və geri qaytarılacaq qərarınız qalır, bu da mövcud ən ucuz pis nəticədir.

Sayğaclar, vəziyyət və fayl fərqli suallara cavab verir

Üç müşahidənin hər biri tək başına inandırıcı görünə və digər ikisi barədə sizi yanıltıra bilər. Sayğaclar yenicə yaratdığınız axının düzəltdiyiniz qaydaya çatıb-çatmadığını göstərir. Vəziyyət cədvəli maşının hansı axınları artıq qurulmuş hesab etdiyini göstərir, beləcə xarab qayda hələ də sağlam görünə bilər. Saxlanmış fayl cihazın növbəti yenidən yükləmədən sonra nə edəcəyini göstərir və bu, hazırda işləyən qaydalar dəstinin etdiyi şey olmaya bilər.

ss -tn state established

Sayğacları cəm kimi deyil, fərq kimi oxuyun, çünki vacib olan yeganə rəqəm sınaq axınınızın dəyişdirdiyi rəqəmdir. Sayğacı heç vaxt artmayan qayda uyğun gəlmir, kağız üzərində nə qədər düzgün görünsə də. Rədd halını da təsdiqləyin: heç vaxt heç nəyi rədd etməmiş siyasət bloklamaq istədiyinizi rədd etdiyini heç vaxt sübut etməmişdir. Yerləşdirmənin həqiqətən daşıdığı hər ailədə bir interfeysi işləyin, çünki v4 qaydası v6 axını barədə heç nə demir.

Saxlanmış qaydalar dəstindən bərpa edin, sonra faylı uyğunlaşdırın

Dəyişiklik uğursuz olduqda, girişlər yenidən işləyənə qədər icazəverici qaydalar əlavə etmək əvəzinə saxlanmış qaydalar dəstini yükləyin. Hər əlavə icazə simptomu sakitləşdirir və hadisədən və onun xatirəsindən daha uzun yaşayan bir deşik qoyur. Bərpa edin, yenidən qoşulun, sonra uğursuz müqayisəni nə sınadığınızın qeydi ilə birlikdə saxlayın.

Uğurlu dəyişiklikdən sonra diskdəki fayl işləyən qaydalar dəstini təsvir etsin və yenidən yükləmənin onu təkrar istehsal etdiyini təsdiqləyin. Öz konfiqurasiya faylından uzaqlaşmış canlı qaydalar dəsti növbəti yenidən başlatma üçün qurulmuş tələdir.