Firewall-pakken installeret, reglerne væk efter genstarten

Pakken blev installeret rent, reglerne blev testet, og efter den næste genstart var gatewayen helt åben. Intet i transaktionen fejlede; fejlen lå i antagelsen om, hvad der ville bestå. At installere firewall-værktøj, beslutte hvilke regler der skal overleve og gendanne dem på det rigtige tidspunkt er tre separate opgaver.

Hvad symptomet egentlig fortæller dig

Et regelsæt, der forsvinder ved genstart, har en af tre ejere: intet gemte det, noget andet erstattede det, eller det blev gendannet, før det, det afhænger af, fandtes. De to første er synlige i konfigurationen; det tredje viser sig kun i rækkefølgen. Derfor kan en genstart ligne datatab, når det i virkeligheden er et sekvensproblem.

Begynd med at skrive ned, hvad der var sandt før genstarten: hvilken tjeneste der holdt reglerne, hvilken fil eller database den læste ved start, og om den kilde nogensinde var blevet skrevet til. Et aktivt regelsæt, som ingen gemte, er en gyldig forklaring og den mest almindelige.

Begynd ikke med at geninstallere pakken.

Læs vedholdenhedsværktøjet, før du bruger det

Debian-værktøjerne behandler vedholdenhed som et plugin-problem: hvert plugin ved, hvordan det skriver sine egne regler, og én indpakning kalder dem. Dets gem-handling gemmer alt, hvad der er indlæst i det øjeblik, og dets start-handling indlæser det øjebliksbillede igen. Intet i nogen af handlingerne gennemgår, hvad der gemmes.

Det er et øjebliksbillede, ikke en gennemgang. En resterende tilladelse fra en fejlretningssession, et halvfærdigt eksperiment eller en eftergivende regel, som en anden hjælper indsatte, bliver alle permanente sammen med den politik, du ville beholde. At gemme tilstand og at godkende tilstand er forskellige aktiviteter, og kun én af dem kræver dømmekraft. Læs det indlæste sæt først, og beslut derefter, hvilke linjer der fortjener at overleve.

Gem med vilje, efter at have læst hvad der er indlæst.

Beslut hvad der skal overleve

Nogle regler hører til en grænseflades livscyklus og bør forsvinde med den. Andre skal overleve tunnelen, og det klareste eksempel er en begrænsning, der forbyder klienttrafik at falde tilbage til den fysiske grænseflade, når tunnelen falder. De to kategorier har brug for forskellige gendannelsesudløsere, ikke ét fælles øjebliksbillede.

Skriv det tilsigtede resultat for tre øjeblikke: opstart, VPN-aktivering og tunneltab. Kontroller derefter, om det værktøj, du valgte, kan udtrykke hver af dem. En vedholdenhedspakke, der genindlæser et statisk øjebliksbillede, klarer det første og måske ingen af de andre, fordi et øjebliksbillede ikke aner, hvornår tunnelens tilstand ændrede sig. Hvis den ikke kan udtrykke dem, hører hullet til en anden komponent.

Politikken, ikke pakken, afgør svaret.

Kontroller gendannelsesrækkefølgen

At gendanne filen er ikke det samme som at eje resultatet. En anden manager kan erstatte reglerne, en tidligere tilladelse kan skygge for dem, eller klienter kan begynde at sende, før begrænsningen lander. Gennemgå opstarts- og genopkoblingsadfærd, ikke bare tilstedeværelsen af en gemt fil.

systemctl status netfilter-persistent
iptables -S

Antag ikke, at det er harmløst at stoppe vedholdenhedstjenesten, fordi pakken dokumenterer en betinget flush, når den stopper. Fastslå tjenestens faktiske konfiguration, før du bruger stop eller genstart som eksperiment på en gateway, du administrerer eksternt. En konsolsession og en dokumenteret tilbagerulning er minimum før den test.

Rækkefølge er en egenskab ved det kørende system, ikke ved filen på disken.

Accepter tre separate resultater

Registrer pakkeinstallationen, det indlæste regelsæt og den håndhævede politik som separate fakta. Et pakkenavn i en supporttråd besvarer kun det første, og det er det, der sjældent betyder noget.

nft list ruleset

Test derefter en tilladt handling og en påkrævet afvisning.

Hvis afvisningen holder efter en genstart og efter et tunneltab, overlever politikken. Hvis den kun holder i en af disse tilstande, har du fundet rækkefølgeproblemet i stedet for at rette det.