Nid yw newid rheol y wal dân yn gweithio: trefn y rheolau a chyflwr y cysylltiad

Fe wnaethoch olygu'r rheol, ail-lwytho'r set rheolau, ac mae'r twnnel yn ymddwyn yn union fel o'r blaen. Mae gan y canlyniad hwnnw ddau achos cyffredin, ac mae arnynt angen profion gwahanol. Naill ai mae'r rheol newydd yn eistedd ar ôl rheol gynharach sydd eisoes wedi derbyn y pecyn, neu mae'r gyfnewidfa rydych yn ei gwylio yn gysylltiad a olrheinir nad yw'r newid byth yn ei ailwerthuso. Mae rheol mewn ffeil yn datgan bwriad; yr hyn sy'n penderfynu'r pecyn yw'r llwybr gweithredol y mae'n ei gyfarfod. Ewch drwy'r gwiriadau isod yn eu trefn, a chadwch ffordd yn ôl wrth wneud hynny.

Mae trefn rheolau a chyflwr cysylltiad yn fethiannau gwahanol

Mae cadwyni trefniedig yn cael eu gwerthuso o'r top i'r gwaelod, ac mae'r rheol gyntaf sy'n cyrraedd dyfarniad terfynnol yn gorffen y daith drwy'r gadwyn honno. Rhowch ganiatâd eang uwchben rheol glo a ysgrifennwyd yn ofalus, ac mae'r rheol glo yn dod yn ddogfennaeth: mae yn y set rheolau, mae ei chyfrifydd yn sero, ac ni fydd yr un pecyn byth yn ei chyrraedd. Nid yw'r un testun wedi'i gymhwyso i gadwyn wahanol yn profi dim ychwaith. Yn nftables, mae cadwyni sylfaen yn cysylltu â bachau ar flaenoriaethau, felly nid yw caniatâd mewn un gadwyn yn atal cadwyn arall ar fach neu flaenoriaeth wahanol rhag gweld yr un pecyn.

Mae olrhain cysylltiadau yn cynhyrchu'r ail symptom, ac o'r tu allan mae'n edrych yn union yr un fath. Unwaith y bydd llif yn y tabl cyflwr, mae caniatâd ar gyfer sefydledig neu gysylltiedig ger pen uchaf y gadwyn yn dychwelyd cyn i'ch rheol newydd gael ei hystyried. Mae gan fapiau NAT yr un briodwedd: roedd y cyfieithiad wedi'i osod pan ddechreuodd y llif, felly nid yw rheol postrouting a olygwyd yn ailysgrifennu sesiwn sydd eisoes yn rhedeg. Dyna pam mae newid yn ymddangos yn gweithio am 09:00 ar gyfer cysylltiad newydd ac yn ymddangos yn gwneud dim ar gyfer y sesiwn a agorodd rhywun am 08:55.

Mae grwpiau diogelwch cwmwl yn ychwanegu trydydd model sy'n dal pobl a ddysgodd ar iptables. Mae eu rheolau mewnol yn rhestr caniatâd a werthusir fel set yn hytrach na chrwydriad cyfateb cyntaf, maent yn gyflwr, ac nid yw tynnu rheol caniatâd yn terfynu llifau sydd eisoes yn cael eu holrhain. Mae tybio semanteg cyfateb cyntaf ar lwyfan nad oes ganddo'r fath beth yn arwain at gasgliadau hyderus ond anghywir.

Darllenwch y set rheolau gweithredol, nid y ffeil a olygwyd gennych

Dechreuwch gyda'r hyn y mae'r cnewyllyn yn ei orfodi nawr. Mae cyfluniad a arbedwyd na chafodd ei gymhwyso erioed yn esbonio nifer syndod o ymddygiadau heb eu newid, ac mae ei eithrio yn costio un gorchymyn:

nft list ruleset
iptables-save

Yna gofynnwch a yw eich rheol yn cael ei chyrraedd o gwbl. Mae cyfrifwyr pecynnau yn ateb hynny'n uniongyrchol, ac maent yn ei ateb yn well nag unrhyw resymu am fwriad:

iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forward

Nid yw rheol glo â sero pecyn ar ôl ymgais prawf go iawn yn broblem polisi, mae'n broblem safle. Mae ei symud yn newid un llinell, a'r gystrawen yn union yw'r hyn a achosodd y nam gwreiddiol. Gyda iptables -I yn mewnosod a -A yn atodi ar y diwedd; gyda nftables insert yn gosod rheol ar gychwyn y gadwyn tra add yn atodi ar y diwedd. Pan fydd rhaid i reol ennill, dywedwch hynny'n benodol yn lle ymddiried yn y drefn a lwythwyd ar hap.

Profwch a yw'r llif yn cael ei olrhain

Cyn beio'r rheol, gwiriwch a yw'r traffig yn gysylltiad a olrheinir o gwbl. Gofynnwch i'r tabl cyflwr am y llif penodol yn lle ei ollwng i gyd:

conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194

Mae'r rhestr yn dangos y cyflwr a'r terfyn amser sy'n weddill, a dyna sut rydych yn gwahaniaethu sesiwn sefydledig oddi wrth ymgais newydd; mae'r modd digwyddiadau yn argraffu diweddariadau wrth iddynt ddigwydd, sy'n ddefnyddiol wrth ailgysylltu cleient. Os yw'r llif yn bresennol gyda chyflwr sefydledig cyn i chi gyffwrdd â dim, ni fydd unrhyw olygiad i'r rheolau hidlo yn newid ei dynged. Nid nam yn y wal dân yw hyn, contract hidlo cyflwr ydyw.

Gwrthwynebwch y llwybr byr o fflysio'r tabl cyfan ar borth cynhyrchu. conntrack -F ar gael, ac mae hefyd yn dinistrio pob llif a olrheinir ar y blwch, gan gynnwys y sesiwn rheoli rydych yn gweithio ohoni a'r twnnel sy'n cario eich cragen. Gellir dileu cofnodion unigol pan fydd wir angen, ond mae llif newydd o borth ffynhonnell newydd fel arfer yn arbrawf glanach.

Nid yw rhai llwybrau yn cael eu holrhain, ac maent yn ymddwyn i'r gwrthwyneb. Traffig wedi'i farcio notrack yn y tabl raw, rhai twneli sy'n osgoi'r bachau arferol, a llwybro anghymesur sy'n rhannu llif rhwng dwy borth yn cynhyrchu pecynnau a werthusir un ar y tro, neu gyflwr na chrëir byth ar y ddau ben. Os yw'r cyfrifwyr yn symud ar gyfer pob pecyn, amheuwch y math hwnnw o lwybr cyn amau trefn.

Profwch o lif newydd gyda ffordd yn ôl

Cyn i chi brofi rheol a allai dorri mynediad o bell, sefydlwch lwybr adfer: consol y darparwr, consol cyfresol, cyfeiriad rheoli allan o fand, neu ail ryngwyneb na all y rheol gyfateb iddo. Mae amserydd adfer yn gydymaith rhesymol, oherwydd bydd yn adfer y set rheolau flaenorol hyd yn oed os bydd eich sesiwn yn marw yng nghanol y prawf.

Yna profwch â chyfnewidfa na allai cyflwr fod wedi'i chwmpasu eisoes. Datgysylltwch ac ailgysylltwch y cleient fel bod pumawd newydd yn cael ei greu, a gwyliwch y ddau ben wrth i hynny ddigwydd:

tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pager

Rhedwch y prawf yn y ddau gyfeiriad. Gall rheol sy'n rhwystro'r ysgwyd llaw mewnol newydd adael llwybr yr ateb yn dal i fynd trwodd, neu'r gwrthwyneb, ac un cyfeiriad yn unig yw'r rheswm arferol dros i glo weithio'n hanner. Ailgysylltwch unwaith eto ar ôl y prawf i gadarnhau'r cyflwr sefydlog, a gwiriwch fod mynediad rheoli cyfreithlon wedi goroesi; mae gan reol a ysgrifennwyd i gyfateb un porth arferiad o gyfateb ystod ehangach na'r bwriad.

Cofnodwch ddiben a safle gyda'r rheol

Mae rheol heb ddiben a gofnodwyd yn rheol na feiddia neb ei dileu. Ochroch bob cofnod clo, cadwch y llif y mae'n ei ddiogelu, y gadwyn a'r bach y mae'n byw ynddynt, y safle y mae'n rhaid iddi ei ddal o ran caniatadau ehangach, a'r prawf a'i profodd. Pan fydd rhywun yn olygu'r set rheolau o amgylch chwe mis yn ddiweddarach, y nodyn hwnnw yw'r unig rybudd fod y safle wedi'i fwriadu.

Cyn i chi gau'r newid, cadarnhewch bedwar peth: mae'r set rheolau sy'n rhedeg yn cyfateb i'r ffeil, mae gan y rheol newydd gyfrifwyr nad ydynt yn sero ar ôl ymgais newydd, mae'r cyfeiriad gwrthdro a mynediad rheoli yn dal i weithio, ac rydych wedi ailgysylltu unwaith i brofi'r cyflwr sefydlog yn hytrach na chyflwr sesiwn sy'n hŷn na'r newid. Os oes unrhyw beth o'r rheini heb ei wirio, nid yw'r newid wedi gorffen, beth bynnag mae'r twnnel yn ei wneud.