Тестване на промени в защитната стена, без да се заключите отвън
Подредете пътищата си за възстановяване, преди правилото да влезе, после проверете с поток, който новата политика трябва да оцени, а не със сесията, която е оцеляла.
Правилото влиза, терминалът, който вече имате, продължава да отговаря, а следващото влизане се отказва. Точно тази разлика е цялата трудност при тестване на промяна в защитната стена през връзката, която променяте. Проследяването на връзки решава веднъж и после спира да гледа, затова установеният поток е единствената проба, която не може да види новата политика. По-нататък се сравняват трите пътя обратно, след което се определя редът, в който да се променят и проверяват правилата.
Защо оцелялата сесия е най-слабото доказателство
Защитна стена със състояние оценява първия пакет на потока и пази тази присъда, докато записът съществува. Правилата, добавени след това, важат за потоци, които започват по-късно, затова прозорецът, в който пишете, остава използваем, докато всички останали се отказват. Каквото научите от него, описва политиката, която е действала преди минути. Дори снимка на този поток показва решение, което машината вече е взела.
Отнасяйте се към работещата сесия като към авариен изход, а не като към измерване. Всяка проверка, която си струва, трябва да отвори нов поток от източник, който новото правило ще оцени, а първата проверка трябва да е тази, чийто провал боли най-много. Когато тази сесия е единственият ви път навътре, промяната не е готова за прилагане.
Три пътя обратно, подредени по това от какво зависи всеки
Подредете опциите по това колко зависят от тестваното устройство, защото точно тази подредба използвате, когато правилото се окаже грешно. Конзола, която никога не минава през защитната стена, е независима, отработеното връщане назад е почти толкова, а вече отворената сесия не е.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Преди промяната влезте през конзолата и докажете, че работи, защото извънлентов път, който никога не сте използвали, е схема, а не резервен вариант. Връщането назад заслужава мястото си само след репетиция на тази платформа, с този набор правила, по одобрената процедура, вместо импровизация на жива машина. Запишете стъпките и накарайте някой друг да ги прочете обратно. Ако последователността се нуждае от паметта ви, за да завърши, тя не е план.
Една промяна, после връзка, която трябва да бъде оценена
Запазете живия набор правила и файла, който го притежава, после направете една тясна редакция. Една промяна на тест оставя резултата проследим; две наведнъж ви оставят с работеща машина и без идея коя редакция е свършила работата. Където платформата може да анализира конфигурация, без да я зарежда, направете това първо, така че печатна грешка да се провали, докато нищо не е заложено.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confСлед това стартирайте нова сесия от източник, който промененото правило ще съвпадне, докато конзолата е още свързана. Повторете веднъж, ако успее, защото първият опит може да попадне на запис, който таблицата вече е държала. Ако се провали, все още имате път навътре и решение за отмяна, което е най-евтиният лош резултат, наличен.
Броячите, състоянието и файлът отговарят на различни въпроси
Всяко от трите наблюдения може да изглежда убедително само по себе си и да ви подведе за другите две. Броячите показват дали потокът, който току-що създадохте, е достигнал до редактираното правило. Таблицата на състоянието показва кои потоци машината смята за вече установени, и точно така счупено правило може да изглежда здраво. Запазеният файл показва какво ще прави устройството след следващото презареждане и това може да не е това, което прави живият набор правила сега.
ss -tn state establishedЧетете броячите като разлика, а не като сбор, защото единственото число, което има значение, е това, което вашият тестов поток е преместил. Правило, чийто брояч никога не се увеличава, не съвпада, колкото и правилно да изглежда на хартия. Потвърдете и случая на отказ: политика, която никога не е отказала нищо, никога не е доказала, че отказва това, което сте искали да блокирате. Преминете през един интерфейс във всяко семейство, което внедряването всъщност носи, защото правило v4 не казва нищо за поток v6.
Възстановете от запазения набор правила, после приведете файла в съответствие
Когато промяната се провали, заредете запазения набор правила, вместо да добавяте разрешаващи правила, докато влизанията проработят отново. Всяко допълнително разрешение успокоява симптома и оставя дупка, която надживява инцидента и паметта за него. Възстановете, свържете се отново, после дръжте неуспешното сравнение до записа на това, което сте опитали.
След успешна промяна накарайте файла на диска да описва набора правила, който работи, и потвърдете, че презареждането го възпроизвежда. Живият набор правила, който се е отклонил от собствения си конфигурационен файл, е капан, поставен за следващото рестартиране.