Suhormako arau-aldaketa ez dabil: arauen ordena eta konexioaren egoera

Araua aldatu duzu, arau-multzoa berriz kargatu duzu, eta tunelak lehen bezalaxe jokatzen du. Emaitza horrek bi kausa ohiko ditu, eta proba desberdinak behar dituzte. Edo arau berria paketea jada onartu zuen aurreko arau baten ondoren dago, edo ikusten ari zaren trukea aldaketak inoiz berriz ebaluatzen ez duen jarraitutako konexio bat da. Fitxategiko arau batek asmoa adierazten du; paketearen patua zehazten duena topatzen duen bide aktiboa da. Egin beheko egiaztapenak ordenan eta, bitartean, mantendu itzultzeko bide bat.

Arauen ordena eta konexioaren egoera hutsegite desberdinak dira

Kate ordenatuak goitik behera ebaluatzen dira, eta amaierako epai batera iristen den lehen arauak amaitzen du kate horretako ibilbidea. Jarri onarpen zabal bat arretaz idatzitako blokeo-arau baten gainean, eta blokeo-araua dokumentazio bihurtzen da: arau-multzoan dago, bere kontagailua zero da, eta inolako paketerik ez da inoiz harengana iritsiko. Testu bera beste kate batean aplikatzeak ere ez du ezer frogatzen. nftables-en oinarrizko kateak hooketara lotzen dira lehentasunekin, beraz kate bateko onarpen batek ez dio eragozten beste hook edo lehentasun bateko kate bati pakete bera ikustea.

Konexioen jarraipenak bigarren sintoma sortzen du, eta kanpotik berdin-berdin ikusten da. Fluxu bat egoera-taulan sartu ondoren, katearen goiko aldean dagoen established-or-related onarpena itzultzen da zure arau berria kontsultatu aurretik. NAT mapatzeek propietate bera dute: itzulpena fluxua hasi zenean finkatu zen, beraz aldatutako postrouting arau batek ez du berridazten jada martxan dagoen saio bat. Horregatik aldaketa bat 09:00etan funtzionatzen ari dela dirudi konexio berri batentzat, eta ezer egiten ez duela dirudi norbaitek 08:55ean irekitako saioarentzat.

Hodeiko segurtasun-taldeek hirugarren eredu bat gehitzen dute, iptables-ekin ikasitakoak harrapatzen dituena. Haien sarrerako arauak baimenduen zerrenda bat dira, multzo gisa ebaluatzen dena eta ez lehen bat-etortzearen ibilbide gisa, egoeradunak dira, eta baimen-arau bat kentzeak ez ditu amaitzen jada jarraitutako fluxuak. Lehen bat-etortzearen semantika ez duen plataforma batean hura suposatzeak ondorio ziur eta okerretara eramaten du.

Irakurri arau-multzo aktiboa, ez aldatu duzun fitxategia

Hasi kernelak oraintxe bertan ezartzen duenarekin. Inoiz aplikatu ez zen gordetako konfigurazio batek harrigarriro azaltzen ditu aldatu gabeko portaera asko, eta baztertzeak komando bakarra kostatzen du:

nft list ruleset
iptables-save

Gero galdetu ea zure araua iristen den. Pakete-kontagailuek zuzenean erantzuten dute, eta asmoari buruzko edozein arrazoiketak baino hobeto erantzuten dute:

iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forward

Benetako proba-saiakera baten ondoren zero pakete dituen blokeo-arau bat ez da politika-arazo bat, posizio-arazo bat da. Mugitzea lerro bakarreko aldaketa da, eta sintaxia jatorrizko errorea eragin zuen gauza bera da. iptables-ekin -I txertatzen du eta -A gehitzen du amaieran; nftables-ekin insert araua katearen hasieran jartzen du eta add amaieran gehitzen du. Arau batek irabazi behar duenean, esan argi eta garbi, kasualitatez kargatu zen ordenan fidatu beharrean.

Frogatu fluxua jarraitzen den ala ez

Araua erruduntzat jo aurretik, egiaztatu trafika jarraitutako konexio bat den. Galdetu egoera-taulari fluxu zehatzaren berri, dena hustu beharrean:

conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194

Zerrendak egoera eta gainerako denbora-muga erakusten ditu, eta horrela bereizten duzu finkatutako saio bat saiakera berri batetik; gertaeren moduak gertatzen diren heinean inprimatzen ditu eguneraketak, eta hori baliagarria da bezero bat berriz konektatzen duzun bitartean. Fluxua jada finkatutako egoeran badago ezer ukitu aurretik, iragazki-arauen edozein aldaketak ez du haren patua aldatuko. Hori ez da suhormako akats bat, egoeradun iragazketaren kontratua da.

Egin aurre ekoizpen-atebide batean taula osoa husteko bide laburrari. conntrack -F eskuragarri dago, eta makinako jarraitutako fluxu guztiak suntsitzen ditu, baita lanean ari zaren kudeaketa-saioa eta zure shell-a daraman tunela ere. Sarrera indibidualak ezabatu daitezke benetan behar duzunean, baina iturburu-portu berri batetik datorren fluxu berri bat esperimentu garbiagoa izan ohi da.

Bide batzuk ez dira jarraitzen, eta kontrako moduan jokatzen dute. notrack raw taulan markatutako trafikoak, ohiko hookak saihesten dituzten tunel batzuek eta fluxua bi atebideren artean banatzen duen bideratze asimetrikoak paketeak banan-banan ebaluatuta sortzen dituzte, edo bi muturretan inoiz sortzen ez den egoera. Kontagailuak pakete bakoitzeko mugitzen badira, susmoa hartu halako bide bati ordenari susmoa hartu aurretik.

Probatu fluxu berri batetik itzultzeko bidearekin

Urrutiko sarbidea moz dezakeen arau bat probatu aurretik, ezarri berreskuratze-bide bat: hornitzailearen kontsola, kontsola seriekoa, banda kanpoko kudeaketa-helbide bat edo arauak bat ezin dezakeen bigarren interfaze bat. Atzera-egiteko tenporizadore bat lagun egokiak dira, probaren erdian zure saioa hiltzen bada ere aurreko arau-multzoa leheneratuko baitu.

Gero probatu egoerak jada estali ezin zezakeen truke batekin. Deskonektatu eta berriz konektatu bezeroa bosnagun berri bat sor dadin, eta begiratu bi muturrak hori gertatzen den bitartean:

tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pager

Egin proba bi noranzkoetan. Sarrerako ukondo berria blokeatzen duen arau batek erantzun-bidea onar dezake oraindik, edo alderantziz, eta noranzko bakarreko emaitza da blokeoak erdi funtzionatzeko ohiko arrazoia. Probaren ondoren berriz konektatu behin egoera egonkorra baieztatzeko, eta egiaztatu kudeaketa-sarbide zilegiak iraun duela; portu bakar baterako idatzitako arauak ohitura du asmoa baino barruti zabalagoarekin bat egiteko.

Erregistratu helburua eta posizioa arauarekin batera

Erregistratutako helbururik gabeko arau bat inork kentzeko ausardia ez duen araua da. Blokeo-sarrera bakoitzaren ondoan gorde babesten duen fluxua, bizi den katea eta hooka, onarpen zabalagoekiko mantendu behar duen posizioa eta hori frogatu zuen proba. Norbait sei hilabeteren buruan inguruko arau-multzoa aldatzen duenean, ohar hori izango da posizioa nahita hautatua izan zela ohartarazteko bakarra.

Aldaketa itxi aurretik, berretsi lau gauza: martxan dagoen arau-multzoa fitxategiarekin bat datorrela, arau berriak zero ez diren kontagailuak dituela saiakera berri baten ondoren, alderantzizko noranzkoak eta kudeaketa-sarbideak oraindik funtzionatzen dutela, eta behin berriz konektatu zarela egoera egonkorra frogatzeko, aldaketaren aurrekoa den saio baten egoera ez baizik. Horietakoren bat egiaztatu gabe badago, aldaketa ez dago amaituta, tunelak edozer egiten duela ere.