Το πακέτο τείχους προστασίας εγκαταστάθηκε, οι κανόνες χάθηκαν μετά την επανεκκίνηση

Το πακέτο εγκαταστάθηκε καθαρά, οι κανόνες δοκιμάστηκαν και μετά την επόμενη επανεκκίνηση η πύλη ήταν εντελώς ανοιχτή. Τίποτα στη συναλλαγή δεν απέτυχε· η αποτυχία ήταν στην υπόθεση για το τι θα παρέμενε. Η εγκατάσταση εργαλείων τείχους προστασίας, η απόφαση ποιοι κανόνες πρέπει να επιβιώσουν και η επαναφορά τους την κατάλληλη στιγμή είναι τρεις ξεχωριστές δουλειές.

Τι σου λέει στην πραγματικότητα το σύμπτωμα

Ένα σύνολο κανόνων που εξαφανίζεται στην επανεκκίνηση έχει έναν από τρεις ιδιοκτήτες: τίποτα δεν το αποθήκευσε, κάτι άλλο το αντικατέστησε ή επαναφέρθηκε πριν υπάρξει αυτό από το οποίο εξαρτάται. Τα δύο πρώτα φαίνονται στη διαμόρφωση· το τρίτο εμφανίζεται μόνο στη σειρά. Γι' αυτό μια επανεκκίνηση μπορεί να μοιάζει με απώλεια δεδομένων ενώ στην πραγματικότητα είναι πρόβλημα ακολουθίας.

Ξεκίνα γράφοντας τι ίσχυε πριν την επανεκκίνηση: ποια υπηρεσία κρατούσε τους κανόνες, ποιο αρχείο ή βάση διάβαζε στην εκκίνηση και αν είχε ποτέ γραφτεί σε εκείνη την πηγή. Ένα ενεργό σύνολο κανόνων που δεν αποθήκευσε κανείς είναι έγκυρη εξήγηση και η πιο συνηθισμένη.

Μην ξεκινήσεις επανεγκαθιστώντας το πακέτο.

Διάβασε το εργαλείο μονιμότητας πριν το χρησιμοποιήσεις

Τα εργαλεία του Ντέμπιαν αντιμετωπίζουν τη μονιμότητα ως πρόβλημα πρόσθετων: κάθε πρόσθετο ξέρει πώς να γράφει τους δικούς του κανόνες και ένα περιτύλιγμα τα καλεί. Η ενέργεια αποθήκευσης κρατά ό,τι είναι φορτωμένο εκείνη τη στιγμή και η ενέργεια εκκίνησης φορτώνει ξανά αυτό το στιγμιότυπο. Τίποτα σε καμία από τις δύο ενέργειες δεν εξετάζει τι αποθηκεύει.

Αυτό είναι στιγμιότυπο, όχι έλεγχος. Μια άδεια που έμεινε από συνεδρία αποσφαλμάτωσης, ένα μισοτελειωμένο πείραμα ή ένας επιτρεπτικός κανόνας που εισήγαγε άλλος βοηθός γίνονται όλα μόνιμα δίπλα στην πολιτική που ήθελες να κρατήσεις. Η αποθήκευση κατάστασης και η έγκριση κατάστασης είναι διαφορετικές δραστηριότητες και μόνο μία από αυτές απαιτεί κρίση. Διάβασε πρώτα το φορτωμένο σύνολο και μετά αποφάσισε ποιες γραμμές αξίζουν να επιβιώσουν.

Αποθήκευσε συνειδητά, αφού διαβάσεις τι είναι φορτωμένο.

Αποφάσισε τι πρέπει να επιβιώσει

Κάποιοι κανόνες ανήκουν στον κύκλο ζωής μιας διεπαφής και πρέπει να εξαφανιστούν μαζί της. Άλλοι πρέπει να επιβιώσουν της σήραγγας, και το πιο καθαρό παράδειγμα είναι ένας περιορισμός που απαγορεύει στην κίνηση των πελατών να πέσει πίσω στη φυσική διεπαφή όταν πέφτει η σήραγγα. Αυτές οι δύο κατηγορίες χρειάζονται διαφορετικά εναύσματα επαναφοράς, όχι ένα κοινό στιγμιότυπο.

Γράψε το επιθυμητό αποτέλεσμα για τρεις στιγμές: εκκίνηση, ενεργοποίηση VPN και απώλεια σήραγγας. Μετά έλεγξε αν το εργαλείο που διάλεξες μπορεί να εκφράσει καθεμία. Ένα πακέτο μονιμότητας που επαναφορτώνει στατικό στιγμιότυπο καλύπτει την πρώτη και ίσως καμία από τις άλλες, γιατί ένα στιγμιότυπο δεν έχει ιδέα πότε άλλαξε η κατάσταση της σήραγγας. Αν δεν μπορεί να τις εκφράσει, το κενό ανήκει σε άλλο εξάρτημα.

Η πολιτική, όχι το πακέτο, αποφασίζει την απάντηση.

Έλεγξε τη σειρά επαναφοράς

Η επαναφορά του αρχείου δεν είναι το ίδιο με την κατοχή του αποτελέσματος. Ένας άλλος διαχειριστής μπορεί να αντικαταστήσει τους κανόνες, μια προηγούμενη άδεια μπορεί να τους επισκιάσει ή οι πελάτες μπορεί να αρχίσουν να στέλνουν πριν εδραιωθεί ο περιορισμός. Εξέτασε τη συμπεριφορά εκκίνησης και επανασύνδεσης, όχι μόνο την ύπαρξη ενός αποθηκευμένου αρχείου.

systemctl status netfilter-persistent
iptables -S

Μην υποθέσεις ότι η διακοπή της υπηρεσίας μονιμότητας είναι ακίνδυνη, γιατί το πακέτο τεκμηριώνει υπό όρους εκκαθάριση όταν σταματά. Καθόρισε την πραγματική διαμόρφωση της υπηρεσίας πριν χρησιμοποιήσεις τη διακοπή ή την επανεκκίνηση ως πείραμα σε πύλη που διαχειρίζεσαι απομακρυσμένα. Μια συνεδρία κονσόλας και μια τεκμηριωμένη επαναφορά είναι το ελάχιστο πριν από αυτή τη δοκιμή.

Η σειρά είναι ιδιότητα του συστήματος που τρέχει, όχι του αρχείου στον δίσκο.

Αποδέξου τρία ξεχωριστά αποτελέσματα

Κατέγραψε την εγκατάσταση του πακέτου, το φορτωμένο σύνολο κανόνων και την πολιτική που εφαρμόζεται ως ξεχωριστά γεγονότα. Ένα όνομα πακέτου σε ένα νήμα υποστήριξης απαντά μόνο στο πρώτο και αυτό είναι εκείνο που σπάνια έχει σημασία.

nft list ruleset

Μετά δοκίμασε μια επιτρεπόμενη λειτουργία και μια απαιτούμενη άρνηση.

Αν η άρνηση αντέξει μετά από επανεκκίνηση και μετά από πτώση της σήραγγας, η πολιτική επιβιώνει. Αν αντέξει μόνο σε μία από αυτές τις καταστάσεις, βρήκες το πρόβλημα σειράς αντί να το διορθώσεις.