Paquete de firewall instalado, reglas desaparecidas tras el reinicio

El paquete se instaló limpiamente, las reglas se probaron y, tras el siguiente reinicio, la puerta de enlace estaba completamente abierta. Nada de la transacción falló; el fallo estaba en lo que se daba por hecho que persistiría. Instalar herramientas de firewall, decidir qué reglas deben sobrevivir y restaurarlas en el momento adecuado son tres tareas distintas.

Qué te dice realmente el síntoma

Un conjunto de reglas que desaparece al reiniciar tiene uno de tres dueños: nadie lo guardó, otra cosa lo reemplazó o se restauró antes de que existiera aquello de lo que depende. Los dos primeros son visibles en la configuración; el tercero solo aparece en el orden. Por eso un reinicio puede parecer una pérdida de datos cuando en realidad es un problema de secuencia.

Empieza escribiendo qué era cierto antes del reinicio: qué servicio tenía las reglas, qué archivo o base de datos leía al arrancar y si esa fuente se había escrito alguna vez. Un conjunto de reglas activo que nadie guardó es una explicación válida y la más común.

No empieces reinstalando el paquete.

Lee la herramienta de persistencia antes de usarla

Las herramientas de Debian tratan la persistencia como un problema de complementos: cada complemento sabe cómo escribir sus propias reglas y un envoltorio los llama. Su acción de guardar almacena todo lo que está cargado en ese momento, y su acción de inicio vuelve a cargar esa instantánea. Nada en ninguna de las dos acciones revisa qué está almacenando.

Eso es una instantánea, no una revisión. Un permiso sobrante de una sesión de depuración, un experimento a medias o una regla permisiva insertada por otro ayudante se vuelven permanentes junto a la política que querías conservar. Guardar el estado y aprobar el estado son actividades distintas, y solo una exige criterio. Lee primero el conjunto cargado y luego decide qué líneas merecen sobrevivir.

Guarda deliberadamente, después de leer lo que está cargado.

Decide qué debe sobrevivir

Algunas reglas pertenecen al ciclo de vida de una interfaz y deberían desaparecer con ella. Otras deben sobrevivir al túnel, y el ejemplo más claro es una restricción que prohíbe que el tráfico de los clientes vuelva a la interfaz física cuando el túnel cae. Esas dos categorías necesitan disparadores de restauración distintos, no una instantánea compartida.

Escribe el resultado deseado para tres momentos: arranque, activación de VPN y pérdida del túnel. Luego comprueba si la herramienta que elegiste puede expresar cada uno. Un paquete de persistencia que recarga una instantánea estática cubre el primero y quizá ninguno de los otros, porque una instantánea no tiene idea de cuándo cambió el estado del túnel. Si no puede expresarlos, el hueco pertenece a otro componente.

La política, no el paquete, decide la respuesta.

Comprueba el orden de restauración

Restaurar el archivo no es lo mismo que poseer el resultado. Otro gestor puede reemplazar las reglas, un permiso anterior puede taparlas o los clientes pueden empezar a enviar antes de que llegue la restricción. Revisa el comportamiento de arranque y de reconexión, no solo la presencia de un archivo guardado.

systemctl status netfilter-persistent
iptables -S

No supongas que detener el servicio de persistencia es inofensivo, porque el paquete documenta un vaciado condicional cuando se detiene. Establece la configuración real del servicio antes de usar detener o reiniciar como experimento en una puerta de enlace que administras en remoto. Una sesión de consola y una reversión documentada son el mínimo antes de esa prueba.

El orden es una propiedad del sistema en marcha, no del archivo en disco.

Acepta tres resultados distintos

Registra la instalación del paquete, el conjunto de reglas cargado y la política aplicada como hechos separados. Un nombre de paquete en un hilo de soporte solo responde al primero, y es el que rara vez importa.

nft list ruleset

Después prueba una operación permitida y una denegación obligatoria.

Si la denegación se mantiene tras un reinicio y tras la caída del túnel, la política sobrevive. Si solo se mantiene en uno de esos estados, has encontrado el problema de orden en lugar de corregirlo.