Fajroŝirma pakaĵo instalita, reguloj malaperis post la restarto

La pakaĵo instaliĝis pure, la reguloj estis testitaj, kaj post la sekva restarto la enirejo estis tute malfermita. Nenio en la transakcio malsukcesis; la misfunkcio estis en la supozo pri tio, kio daŭros. Instali fajroŝirmajn ilojn, decidi kiuj reguloj devas postvivi kaj restarigi ilin en la ĝusta momento estas tri apartaj taskoj.

Kion la simptomo vere diras al vi

Reguloj, kiuj malaperas ĉe restarto, havas unu el tri posedantoj: nenio konservis ilin, io alia anstataŭigis ilin, aŭ ili estis restarigitaj antaŭ ol ekzistis tio, de kio ili dependas. La du unuaj videblas en la agordo; la tria montriĝas nur en la ordo. Tial restarto povas aspekti kiel datumperdo, kiam ĝi fakte estas sinsekva problemo.

Komencu skribante, kio estis vera antaŭ la restarto: kiu servo tenis la regulojn, kiun dosieron aŭ datumbazon ĝi legis ĉe la starto, kaj ĉu tiu fonto iam estis skribita. Viva reguloaro, kiun neniu konservis, estas valida klarigo kaj la plej ofta.

Ne komencu per reinstalado de la pakaĵo.

Legu la daŭrigan ilon antaŭ ol uzi ĝin

La iloj de Debiano traktas daŭrecon kiel kromaĵan problemon: ĉiu kromaĵo scias kiel skribi siajn proprajn regulojn, kaj unu envolvaĵo vokas ilin. Ĝia konserva ago konservas ĉion, kio estas ŝarĝita en tiu momento, kaj ĝia starta ago reŝarĝas tiun momentbildon. Nenio en ambaŭ agoj revizias, kion ĝi konservas.

Tio estas momentbildo, ne revizio. Restinta permeso el sencimiga seanco, duonfinita eksperimento aŭ permesema regulo enmetita de alia helpilo ĉiuj fariĝas permanentaj apud la politiko, kiun vi volis konservi. Konservi staton kaj aprobi staton estas malsamaj agadoj, kaj nur unu el ili postulas juĝon. Legu unue la ŝarĝitan aron, poste decidu, kiuj linioj meritas postvivi.

Konservu konscie, post legado de tio, kio estas ŝarĝita.

Decidu, kio devas postvivi

Kelkaj reguloj apartenas al la vivociklo de interfaco kaj devus malaperi kun ĝi. Aliaj devas postvivi la tunelon, kaj la plej klara ekzemplo estas limigo, kiu malpermesas al klienta trafiko fali reen al la fizika interfaco kiam la tunelo falas. Tiuj du kategorioj bezonas malsamajn restarigajn ekigilojn, ne unu komunan momentbildon.

Skribu la celatan rezulton por tri momentoj: starto, VPN-aktivigo kaj tunela perdo. Poste kontrolu, ĉu la ilo, kiun vi elektis, povas esprimi ĉiun el ili. Daŭreca pakaĵo, kiu reŝarĝas statikan momentbildon, traktas la unuan kaj eble neniun el la aliaj, ĉar momentbildo tute ne scias, kiam la tunela stato ŝanĝiĝis. Se ĝi ne povas esprimi ilin, la manko apartenas al alia komponanto.

La politiko, ne la pakaĵo, decidas la respondon.

Kontrolu la restarigan ordon

Restarigi la dosieron ne samas al posedi la rezulton. Alia administranto povas anstataŭigi la regulojn, pli frua permeso povas ombri ilin, aŭ klientoj povas komenci sendi antaŭ ol la limigo ekvalidas. Reviziu la startan kaj rekonektan konduton, ne nur la ekziston de konservita dosiero.

systemctl status netfilter-persistent
iptables -S

Ne supozu, ke haltigi la daŭrecan servon estas senriske, ĉar la pakaĵo dokumentas kondiĉan malplenigon kiam ĝi haltas. Konstatu la faktan agordon de la servo antaŭ ol uzi halton aŭ restartigon kiel eksperimenton sur enirejo, kiun vi administras distance. Konsola seanco kaj dokumentita retroigo estas la minimumo antaŭ tiu testo.

Ordo estas eco de la funkcianta sistemo, ne de la dosiero sur la disko.

Akceptu tri apartajn rezultojn

Registru la pakaĵan instaladon, la ŝarĝitan reguloaron kaj la validigitan politikon kiel apartajn faktojn. Pakaĵa nomo en subtena fadeno respondas nur la unuan, kaj ĝi estas tiu, kiu malofte gravas.

nft list ruleset

Poste testu permesitan operacion kaj postulatan malpermeson.

Se la malpermeso teniĝas post restarto kaj post tunela perdo, la politiko postvivas. Se ĝi teniĝas nur en unu el tiuj statoj, vi trovis la ordan problemon anstataŭ ripari ĝin.