Paket firewall-a instaliran, pravila nestala nakon ponovnog pokretanja

Paket se čisto instalirao, pravila su testirana, a nakon sljedećeg ponovnog pokretanja gateway je bio širom otvoren. Ništa u transakciji nije propalo; greška je bila u pretpostavci o tome šta će ostati. Instalacija firewall alata, odluka koja pravila treba da prežive i njihovo vraćanje u pravom trenutku tri su odvojena posla.

Šta vam simptom zapravo govori

Skup pravila koji nestane pri ponovnom pokretanju ima jednog od tri vlasnika: ništa ga nije sačuvalo, nešto drugo ga je zamijenilo ili je vraćen prije nego što je postojalo ono o čemu zavisi. Prva dva su vidljiva u konfiguraciji; treći se pojavljuje samo u redoslijedu. Zato ponovno pokretanje može izgledati kao gubitak podataka, a zapravo je problem slijeda.

Počnite tako što ćete zapisati šta je bilo tačno prije ponovnog pokretanja: koja usluga je držala pravila, koju datoteku ili bazu je čitala pri pokretanju i da li je taj izvor ikada bio zapisan. Aktivni skup pravila koji niko nije sačuvao valjano je objašnjenje i najčešće.

Ne počinjite ponovnom instalacijom paketa.

Pročitajte alat za trajnost prije nego ga upotrijebite

Debian alati tretiraju trajnost kao problem dodataka: svaki dodatak zna kako da zapiše svoja pravila, a jedan omotač ih poziva. Njegova radnja čuvanja pohranjuje sve što je u tom trenutku učitano, a radnja pokretanja vraća taj snimak. Ništa u objema radnjama ne pregleda šta pohranjuje.

To je snimak, a ne pregled. Zaostalo dopuštenje iz sesije otklanjanja grešaka, nedovršen eksperiment ili popustljivo pravilo koje je ubacio drugi pomoćnik sve to postaje trajno uz politiku koju ste htjeli zadržati. Čuvanje stanja i odobravanje stanja različite su aktivnosti i samo jedna od njih zahtijeva prosudbu. Prvo pročitajte učitani skup, pa odlučite koji redovi zaslužuju da prežive.

Čuvajte namjerno, nakon što pročitate šta je učitano.

Odlučite šta treba da preživi

Neka pravila pripadaju životnom ciklusu interfejsa i treba da nestanu s njim. Druga moraju nadživjeti tunel, a najjasniji primjer je ograničenje koje zabranjuje klijentskom saobraćaju da se vrati na fizički interfejs kada tunel padne. Te dvije kategorije trebaju različite okidače vraćanja, a ne jedan zajednički snimak.

Zapišite željeni rezultat za tri trenutka: podizanje, aktiviranje VPN-a i gubitak tunela. Zatim provjerite može li alat koji ste odabrali izraziti svaki od njih. Paket za trajnost koji ponovo učitava statični snimak rješava prvi i možda nijedan od ostalih, jer snimak nema pojma kada se stanje tunela promijenilo. Ako ih ne može izraziti, praznina pripada drugoj komponenti.

Politika, a ne paket, odlučuje odgovor.

Provjerite redoslijed vraćanja

Vraćanje datoteke nije isto što i vlasništvo nad rezultatom. Drugi menadžer može zamijeniti pravila, ranije dopuštenje ih može zasjeniti ili klijenti mogu početi slati prije nego što ograničenje stupi na snagu. Pregledajte ponašanje pri pokretanju i ponovnom povezivanju, a ne samo postojanje sačuvane datoteke.

systemctl status netfilter-persistent
iptables -S

Ne pretpostavljajte da je zaustavljanje usluge trajnosti bezopasno, jer paket dokumentuje uslovno čišćenje kada se zaustavi. Utvrdite stvarnu konfiguraciju usluge prije nego što zaustavljanje ili ponovno pokretanje upotrijebite kao eksperiment na gatewayu kojim upravljate daljinski. Konzolna sesija i dokumentovano vraćanje minimum su prije tog testa.

Redoslijed je svojstvo sistema koji radi, a ne datoteke na disku.

Prihvatite tri odvojena rezultata

Zabilježite instalaciju paketa, učitani skup pravila i primijenjenu politiku kao odvojene činjenice. Ime paketa u temi podrške odgovara samo na prvo, a to je ono što rijetko ima značaja.

nft list ruleset

Zatim testirajte dopuštenu radnju i obavezno odbijanje.

Ako se odbijanje održi nakon ponovnog pokretanja i nakon gubitka tunela, politika preživljava. Ako se održi samo u jednom od tih stanja, pronašli ste problem redoslijeda, a niste ga popravili.