Paquet de tallafoc instal·lat, regles desaparegudes després del reinici

El paquet es va instal·lar net, les regles es van provar i, després del reinici següent, la passarel·la estava completament oberta. Res de la transacció no va fallar; la fallada era en allò que es va donar per fet que persistiria. Instal·lar eines de tallafoc, decidir quines regles han de sobreviure i restaurar-les en el moment adequat són tres feines separades.

Què us diu realment el símptoma

Un conjunt de regles que desapareix en reiniciar té un de tres propietaris: ningú no el va desar, una altra cosa el va substituir o es va restaurar abans que existís allò de què depèn. Els dos primers són visibles a la configuració; el tercer només es mostra en l'ordre. Per això un reinici pot semblar una pèrdua de dades quan en realitat és un problema de seqüència.

Comenceu escrivint què era cert abans del reinici: quin servei tenia les regles, quin fitxer o base de dades llegia en arrencar i si aquella font s'havia escrit mai. Un conjunt de regles actiu que ningú no va desar és una explicació vàlida i la més habitual.

No comenceu reinstal·lant el paquet.

Llegiu l'eina de persistència abans d'usar-la

Les eines de Debian tracten la persistència com un problema de connectors: cada connector sap com escriure les seves pròpies regles i un embolcall els crida. La seva acció de desar emmagatzema tot el que està carregat en aquell moment, i la seva acció d'inici torna a carregar aquesta instantània. Res de les dues accions no revisa què està emmagatzemant.

Això és una instantània, no una revisió. Un permís sobrant d'una sessió de depuració, un experiment a mitges o una regla permissiva inserida per un altre assistent esdevenen permanents al costat de la política que volíeu conservar. Desar l'estat i aprovar l'estat són activitats diferents, i només una requereix criteri. Llegiu primer el conjunt carregat i decidiu després quines línies mereixen sobreviure.

Deseu deliberadament, després de llegir què està carregat.

Decidiu què ha de sobreviure

Algunes regles pertanyen al cicle de vida d'una interfície i haurien de desaparèixer amb ella. D'altres han de sobreviure al túnel, i l'exemple més clar és una restricció que prohibeix que el trànsit dels clients torni a la interfície física quan el túnel cau. Aquestes dues categories necessiten disparadors de restauració diferents, no una instantània compartida.

Escriviu el resultat desitjat per a tres moments: arrencada, activació de VPN i pèrdua del túnel. Després comproveu si l'eina que heu triat pot expressar cadascun. Un paquet de persistència que recarrega una instantània estàtica resol el primer i potser cap dels altres, perquè una instantània no té ni idea de quan va canviar l'estat del túnel. Si no els pot expressar, el buit pertany a un altre component.

La política, no el paquet, decideix la resposta.

Comproveu l'ordre de restauració

Restaurar el fitxer no és el mateix que posseir el resultat. Un altre gestor pot substituir les regles, un permís anterior les pot tapar o els clients poden començar a enviar abans que arribi la restricció. Reviseu el comportament d'arrencada i de reconnexió, no només la presència d'un fitxer desat.

systemctl status netfilter-persistent
iptables -S

No suposeu que aturar el servei de persistència és inofensiu, perquè el paquet documenta un buidatge condicional quan s'atura. Establiu la configuració real del servei abans d'usar aturada o reinici com a experiment en una passarel·la que administreu remotament. Una sessió de consola i un retorn documentat són el mínim abans d'aquest test.

L'ordre és una propietat del sistema en marxa, no del fitxer al disc.

Accepteu tres resultats separats

Registreu la instal·lació del paquet, el conjunt de regles carregat i la política aplicada com a fets separats. Un nom de paquet en un fil de suport només respon el primer, i és el que poques vegades importa.

nft list ruleset

Després proveu una operació permesa i una denegació obligatòria.

Si la denegació es manté després d'un reinici i després de la caiguda del túnel, la política sobreviu. Si només es manté en un d'aquests estats, heu trobat el problema d'ordre en lloc de corregir-lo.