Palomuuripaketti asennettu, säännöt katosivat uudelleenkäynnistyksen jälkeen

Paketti asentui puhtaasti, säännöt testattiin, ja seuraavan uudelleenkäynnistyksen jälkeen yhdyskäytävä oli täysin auki. Mikään tapahtumassa ei epäonnistunut; vika oli oletuksessa siitä, mikä säilyy. Palomuurityökalujen asentaminen, päättäminen mitkä säännöt säilyvät ja niiden palauttaminen oikealla hetkellä ovat kolme erillistä työtä.

Miten oire oikeastaan kannattaa lukea

Uudelleenkäynnistyksessä katoavalla sääntöjoukolla on yksi kolmesta omistajasta: mikään ei tallentanut sitä, jokin muu korvasi sen, tai se palautettiin ennen kuin se, mistä se riippuu, oli olemassa. Kaksi ensimmäistä näkyvät asetuksissa; kolmas ilmenee vain järjestyksessä. Siksi uudelleenkäynnistys voi näyttää tietojen menetykseltä, vaikka kyse on järjestysongelmasta.

Aloita kirjoittamalla muistiin, mikä oli totta ennen uudelleenkäynnistystä: mikä palvelu piti sääntöjä, mitä tiedostoa tai tietokantaa se luki käynnistyksessä ja oliko siihen lähteeseen koskaan kirjoitettu. Käytössä oleva sääntöjoukko, jota kukaan ei tallentanut, on pätevä selitys ja yleisin.

Älä aloita asentamalla pakettia uudelleen.

Lue pysyvyystyökalu ennen kuin käytät sitä

Debianin työkalut käsittelevät pysyvyyttä liitännäisongelmana: jokainen liitännäinen tietää, miten kirjoittaa omat sääntönsä, ja yksi kääre kutsuu niitä. Sen tallennustoiminto säilyttää kaiken, mikä sillä hetkellä on ladattu, ja käynnistystoiminto lataa sen tilannekuvan takaisin. Kummassakaan toiminnossa ei tarkisteta, mitä tallennetaan.

Se on tilannekuva, ei tarkistus. Virheenkorjausistunnosta jäänyt sallinta, kesken jäänyt kokeilu tai toisen apurin lisäämä salliva sääntö muuttuvat kaikki pysyviksi sen käytännön rinnalle, jonka halusit pitää. Tilanteen tallentaminen ja tilanteen hyväksyminen ovat eri toimia, ja vain toinen niistä vaatii harkintaa. Lue ladattu joukko ensin ja päätä vasta sitten, mitkä rivit ansaitsevat jäädä.

Tallenna harkiten, kun olet lukenut, mitä on ladattu.

Päätä, mikä saa jäädä henkiin

Jotkin säännöt kuuluvat liitännän elinkaareen ja niiden pitäisi kadota sen mukana. Toisten on selvittävä tunnelista, ja selvin esimerkki on rajoitus, joka kieltää asiakasliikennettä putoamasta takaisin fyysiselle liitännälle, kun tunneli kaatuu. Nämä kaksi luokkaa tarvitsevat eri palautuslaukaisimet, eivät yhtä yhteistä tilannekuvaa.

Kirjoita aiottu tulos kolmelle hetkelle: käynnistys, VPN:n aktivointi ja tunnelin menetys. Tarkista sitten, pystyykö valitsemasi työkalu ilmaisemaan jokaisen. Staattisen tilannekuvan uudelleen lataava pysyvyyspaketti hoitaa ensimmäisen ja ehkä ei yhtäkään muista, koska tilannekuva ei tiedä, milloin tunnelin tila muuttui. Jos se ei pysty ilmaisemaan niitä, aukko kuuluu toiselle komponentille.

Käytäntö, ei paketti, ratkaisee vastauksen.

Tarkista palautusjärjestys

Tiedoston palauttaminen ei ole sama kuin tuloksen omistaminen. Toinen hallinta voi korvata säännöt, aiempi sallinta voi varjostaa ne, tai asiakkaat voivat alkaa lähettää ennen kuin rajoitus astuu voimaan. Tarkista käynnistys- ja uudelleenyhdistämiskäyttäytyminen, älä vain tallennetun tiedoston olemassaoloa.

systemctl status netfilter-persistent
iptables -S

Älä oleta, että pysyvyyspalvelun pysäyttäminen on vaaratonta, koska paketti dokumentoi ehdollisen tyhjennyksen pysähtyessään. Selvitä palvelun todellinen kokoonpano ennen kuin käytät pysäytystä tai uudelleenkäynnistystä kokeena yhdyskäytävällä, jota hallitset etänä. Konsoli-istunto ja dokumentoitu peruutus ovat vähimmäisvaatimus ennen tuota testiä.

Järjestys on käynnissä olevan järjestelmän ominaisuus, ei levyn tiedoston.

Hyväksy kolme erillistä tulosta

Kirjaa paketin asennus, ladattu sääntöjoukko ja toteutettu käytäntö erillisinä tosiasioina. Paketin nimi tukiketjussa vastaa vain ensimmäiseen, ja se on se, jolla on harvoin merkitystä.

nft list ruleset

Testaa sitten sallittu toiminto ja vaadittu esto.

Jos esto pitää uudelleenkäynnistyksen ja tunnelin menetyksen jälkeen, käytäntö säilyy. Jos se pitää vain toisessa näistä tiloista, olet löytänyt järjestysongelman sen korjaamisen sijaan.