Testi fajroŝirmilajn ŝanĝojn sen ŝlosi vin ekstere

Via regulo eniras, la terminalo, kiun vi jam havas, daŭre respondas, kaj la sekva ensaluto estas rifuzata. Ĝuste tiu breĉo estas la tuta malfacileco testi fajroŝirmilan ŝanĝon tra la konekto, kiun vi ŝanĝas. Konekta spurado decidas unufoje kaj poste ĉesas rigardi, do establita fluo estas la sola provo, kiu ne povas vidi la novan politikon. La sekvaĵo komparas la tri manierojn reen, poste fiksas la ordon, laŭ kiu ŝanĝi kaj kontroli la regulojn.

Kial la postvivinta sesio estas la plej malforta pruvo

Stata fajroŝirmilo taksas la unuan pakaĵon de fluo kaj konservas tiun verdikton dum la registro vivas. Reguloj aldonitaj poste validas por fluoj, kiuj komenciĝas poste, kaj tial la fenestro, en kiu vi tajpas, restas uzebla dum ĉiuj aliaj estas rifuzataj. Kion ajn vi lernas el ĝi, ĝi priskribas la politikon, kiu validis antaŭ kelkaj minutoj. Eĉ kaptaĵo prenita sur tiu fluo montras decidon, kiun la maŝino jam faris.

Traktu la funkciantan sesion kiel savan eliron, ne kiel mezuron. Ĉiu kontrolo inda je plenumo devas malfermi novan fluon el fonto, kiun la nova regulo taksos, kaj la unua kontrolo estu tiu, kies malsukceso plej dolorus. Kiam tiu sesio estas via sola vojo enen, la ŝanĝo ne estas preta por fariĝi.

Tri manieroj reen, ordigitaj laŭ tio, de kio ĉiu dependas

Ordigu la opciojn laŭ tio, kiom ili dependas de la testata aparato, ĉar tiun ordon vi atingas, kiam la regulo montriĝas malĝusta. Konzolo, kiu neniam pasas tra la fajroŝirmilo, estas sendependa, provludita restarigo preskaŭ estas, kaj la jam malfermita sesio ne estas.

Antaŭ la ŝanĝo, ensalutu tra la konzolo kaj pruvu, ke ĝi funkcias, ĉar eksterbenda vojo, kiun vi neniam uzis, estas diagramo, ne rezerva plano. Restarigo gajnas sian lokon nur post provludo sur tiu platformo, kun tiu regulkompleto, laŭ la aprobita proceduro anstataŭ improvizado sur viva maŝino. Skribu la paŝojn kaj lasu iun alian relegi ilin. Se la sinsekvo bezonas vian memoron por finiĝi, ĝi ne estas plano.

Unu ŝanĝo, poste konekto, kiu devas esti taksata

Konservu la vivan regulkompleton kaj la dosieron, kiu posedas ĝin, poste faru unu mallarĝan redakton. Unu ŝanĝo por testo tenas la rezulton atribuebla; du samtempe lasas vin kun funkcianta maŝino kaj neniun ideon, kiu redakto faris la laboron. Kie la platformo povas analizi konfiguron sen ŝargi ĝin, faru tion unue, por ke tajperaro malsukcesu, dum nenio estas en risko.

nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.conf

Poste komencu novan sesion el fonto, kiun la ŝanĝita regulo kongruos, dum la konzolo ankoraŭ estas ligita. Ripetu ĝin unufoje, se ĝi sukcesos, ĉar la unua provo povas surteriĝi sur registron, kiun la tabelo jam tenis. Se ĝi malsukcesos, vi ankoraŭ havas vojon enen kaj decidon por malfari, kio estas la plej malmultekosta malbona rezulto disponebla.

Nombriloj, stato kaj la dosiero respondas al malsamaj demandoj

Ĉiu el la tri observoj povas ŝajni konvinka sola kaj misgvidi vin pri la aliaj du. Nombriloj montras, ĉu la fluo, kiun vi ĵus kreis, atingis la regulon, kiun vi redaktis. La stata tabelo montras, kiujn fluojn la maŝino kredas jam establitaj, kaj tiel rompita regulo povas ankoraŭ ŝajni sana. La konservita dosiero montras, kion la aparato faros post la sekva reŝargo, kaj tio eble ne estas tio, kion la kuranta regulkompleto faras nun.

ss -tn state established

Legu nombrilojn kiel delton, ne kiel sumon, ĉar la sola nombro, kiu gravas, estas tiu, kiun movis via testa fluo. Regulo, kies nombrilo neniam pliiĝas, ne kongruas, kiel ĝuste ajn ĝi aspektas sur papero. Konfirmu ankaŭ la rifuzan kazon: politiko, kiu neniam rifuzis ion, neniam pruvis, ke ĝi rifuzas tion, kion vi intencis bloki. Trairu unu interfacon en ĉiu familio, kiun la deplojo efektive portas, ĉar regulo v4 diras nenion pri fluo v6.

Restarigu el la konservita regulkompleto, poste igu la dosieron kongrui

Kiam la ŝanĝo malsukcesas, ŝargu la konservitan regulkompleton anstataŭ aldoni permesajn regulojn ĝis ensalutoj denove funkcias. Ĉiu kroma permeso kvietigas la simptomon kaj lasas truon, kiu postvivas la incidenton kaj la memoron pri ĝi. Restarigu, rekonektu, poste tenu la malsukcesan komparon apud la registro de tio, kion vi provis.

Post sukcesa ŝanĝo, igu la dosieron sur la disko priskribi la kurantan regulkompleton, kaj konfirmu, ke reŝargo ĝin reproduktas. Viva regulkompleto, kiu drifis for de sia propra agorda dosiero, estas kaptilo metita por la sekva restarto.