Tulemüüri pakett paigaldatud, reeglid kadusid pärast taaskäivitust

Pakett paigaldus puhtalt, reeglid testiti ja pärast järgmist taaskäivitust oli lüüs täiesti avatud. Tehingus ei ebaõnnestunud miski; viga oli eelduses, mis püsima jääb. Tulemüüritööriistade paigaldamine, otsustamine, millised reeglid peavad ellu jääma, ja nende taastamine õigel hetkel on kolm eraldi tööd.

Mida sümptom tegelikult ütleb

Taaskäivitamisel kaduv reeglistik on ühe kolme omaniku käes: miski ei salvestanud seda, miski muu asendas selle või see taastati enne, kui see, millest see sõltub, olemas oli. Kaks esimest on konfiguratsioonis nähtavad; kolmas ilmneb ainult järjekorras. Seetõttu võib taaskäivitus paista andmekaotusena, kuigi tegelikult on tegu järjestusprobleemiga.

Alustage kirjutamisest, mis oli tõsi enne taaskäivitust: milline teenus hoidis reegleid, millist faili või andmebaasi see käivitamisel luges ja kas sellesse allikasse oli kunagi kirjutatud. Aktiivne reeglistik, mida keegi ei salvestanud, on kehtiv selgitus ja kõige tavalisem.

Ärge alustage paketi uuesti paigaldamisest.

Lugege püsivustööriista enne selle kasutamist

Debiani tööriistad käsitlevad püsivust pistikprogrammi probleemina: iga pistikprogramm teab, kuidas oma reegleid kirjutada, ja üks mähis kutsub neid. Selle salvestamistoiming hoiustab kõik, mis sel hetkel on laaditud, ja käivitustoiming laeb selle hetktõmmise tagasi. Kummaski toimingus ei vaadata üle, mida hoiustatakse.

See on hetktõmmis, mitte ülevaatus. Silumisseansist jäänud luba, pooleli jäänud eksperiment või teise abilise sisestatud lubav reegel muutuvad kõik püsivaks kõrvuti poliitikaga, mida soovisite hoida. Olekut salvestada ja olekut heaks kiita on erinevad tegevused ning ainult üks neist nõuab otsustusvõimet. Lugege kõigepealt laaditud kogum üle ja otsustage seejärel, millised read väärivad ellujäämist.

Salvestage teadlikult, pärast seda, kui olete lugenud, mis on laaditud.

Otsustage, mis peab ellu jääma

Mõned reeglid kuuluvad liidese elutsüklisse ja peaksid koos sellega kaduma. Teised peavad tunnelist kauem elama, ja kõige selgem näide on piirang, mis keelab kliendiliiklusel füüsilisele liidesele tagasi langeda, kui tunnel katkeb. Need kaks kategooriat vajavad erinevaid taastamise päästikuid, mitte üht ühist hetktõmmist.

Kirjutage kavandatud tulemus kolme hetke jaoks: alglaadimine, VPN-i aktiveerimine ja tunneli kadu. Seejärel kontrollige, kas valitud tööriist suudab neid kõiki väljendada. Püsivuspakett, mis laeb uuesti staatilise hetktõmmise, katab esimese ja võib-olla mitte ühtegi teist, sest hetktõmmis ei tea, millal tunneli olek muutus. Kui see ei suuda neid väljendada, kuulub lünk teise komponendi juurde.

Vastuse otsustab poliitika, mitte pakett.

Kontrollige taastamise järjekorda

Faili taastamine ei ole sama mis tulemuse omamine. Teine haldur võib reeglid asendada, varasem luba võib need varjutada või kliendid võivad hakata saatma enne, kui piirang jõustub. Vaadake üle käivitumis- ja taasühendumiskäitumine, mitte ainult salvestatud faili olemasolu.

systemctl status netfilter-persistent
iptables -S

Ärge eeldage, et püsivusteenuse peatamine on ohutu, sest pakett dokumenteerib peatamisel tingimusliku tühjendamise. Tehke kindlaks teenuse tegelik konfiguratsioon enne, kui kasutate peatamist või taaskäivitamist katsena lüüsil, mida haldate kaugjuhtimise teel. Konsooliseanss ja dokumenteeritud tagasipööramine on enne seda katset miinimum.

Järjekord on töötava süsteemi omadus, mitte kettal oleva faili oma.

Nõustuge kolme eraldi tulemusega

Registreerige paketi paigaldamine, laaditud reeglistik ja rakendatud poliitika eraldi faktidena. Paketi nimi tugiteemas vastab ainult esimesele ja just see on harva oluline.

nft list ruleset

Seejärel testige lubatud toimingut ja nõutavat keeldu.

Kui keeld püsib pärast taaskäivitust ja pärast tunneli kadu, jääb poliitika ellu. Kui see püsib ainult ühes neist olekutest, olete leidnud järjekorraprobleemi, mitte seda parandanud.