Fjoermuorferoarings testen sûnder jesels bûten te sluten
Rangskik jo werstelpaden foardat de regel ynfiert, en ferifiearje dan mei in stream dy't it nije belied beoardielje moat, net mei de sesje dy't oerlibbe.
Jo regel wurdt ynfierd, de terminal dy't jo al hawwe bliuwt antwurdzje, en de folgjende oanmelding wurdt wegere. Krekt dat gat is de hiele swierrichheid fan it testen fan in fjoermuorferoaring oer de ferbining dy't jo feroarje. Ferbiningsopfolling beslút ien kear en hâldt dan op mei sjen, dus in festige stream is de ienige probe dy't it nije belied net sjen kin. Wat folget ferliket de trije wegen werom, en leit dan de folchoarder fêst wêryn't de regels feroare en kontrolearre wurde.
Wêrom't de oerlibjende sesje it swakste bewiis is
In steatfoller fjoermuorre beoardielet it earste pakket fan in stream en hâldt dat oardiel salang't de ynfier libbet. Regels dy't letter tafoege wurde, jilde foar streamen dy't letter begjinne, dêrom bliuwt it finster wêryn't jo tipoantsje brûkber wylst alle oaren wegere wurde. Wat jo derfan leare, beskriuwt it belied dat minuten lyn gou. Sels in opname dy't op dy stream makke is, lit in beslút sjen dat de masine al nommen hat.
Behannelje de wurkjende sesje as in needútgong en net as in mjitting. Eltse kontrôle dy't de muoite wurdich is, moat in nije stream iepenje fan in boarne dy't de nije regel beoardielje sil, en de earste kontrôle moat dyjinge wêze dy't it searst dwaan soe om te mislukken. As dy sesje jo iennichste wei nei binnen is, is de feroaring net klear om makke te wurden.
Trije wegen werom, oardere nei wêr't elk fan ôfhinget
Rangskik de opsjes nei hoefolle se fan it testapparaat ôfhingje, want dy rangskikking is wêr't jo nei gripe as de regel ferkeard blykt. In konsôle dy't nea troch de fjoermuorre giet, is ûnôfhinklik, in oefene weromdraaiing hast sa, en de sesje dy't al iepen is net.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Meld jo foar de feroaring oan fia de konsôle en bewize dat it wurket, want in bûtenbânpaad dat jo nea brûkt hawwe, is in diagram en gjin falback. In weromdraaiing fertsjinnet syn plak pas nei in oefening op dat platfoarm, mei dy regelset, neffens de goedkarde proseduere ynstee fan ymprovisearje op in libbene masine. Skriuw de stappen del en lit in oar se weromlêze. As de folchoarder jo ûnthâld nedich hat om te foltôgjen, is it gjin plan.
Ien feroaring, dan in ferbining dy't beoardiele wurde moat
Bewarje de libbene regelset en it bestân dat der eigen oan is, en meitsje dan ien smelle bewurking. Ien feroaring per test hâldt de útkomst taskriuwber; twa tagelyk litte jo mei in wurkjende masine en gjin idee hokker bewurking it wurk dien hat. Wêr't it platfoarm in konfiguraasje analysearje kin sûnder dy te laden, doch dat earst, sadat in typflater mislearret wylst neat op it spul stiet.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confBegjin dan in nije sesje fan in boarne dy't de feroare regel oanfoldwaan sil, wylst de konsôle noch ferbûn is. Werhelje it ien kear as it slagget, want de earste poging kin op in ynfier lânje dy't de tabel al hie. As it mislearret, hawwe jo noch in wei nei binnen en in beslút om werom te draaien, en dat is de goedkeapste minne útkomst dy't beskikber is.
Tellers, steat en it bestân beantwurdzje ferskate fragen
Elk fan 'e trije observaasjes kin op himsels oertsjûgjend lykje en jo oer de oare twa misliede. Tellers litte sjen oft de stream dy't jo krekt makke hawwe de regel berikt hat dy't jo bewurke hawwe. De steattabel lit sjen hokker streamen de masine al fêstige achtet, en sa kin in brutsen regel noch sûn lykje. It bewarre bestân lit sjen wat it apparaat nei de folgjende werladen dwaan sil, en dat is miskien net wat de rinnende regelset no docht.
ss -tn state establishedLês tellers as in ferskil en net as in totaal, want it iennichste getal dat ta docht is dat wat jo teststream ferpleatst hat. In regel wêrfan't de teller nea tanimt, past net, hoe goed oft er op papier liket. Befêstigje ek it wegere gefal: in belied dat nea eat wegere hat, hat nea bewiisd dat it wegeret wat jo blokkearje woenen. Wurku troch ien interface yn elk famylje dat de útrôl trochdwaan, want in v4-regel seit neat oer in v6-stream.
Werstel út 'e bewarre regelset, meitsje dan it bestân lyk
As de feroaring mislearret, laad dan de bewarre regelset ynstee fan taljochte regels ta te foegjen oant oanmeldingen wer wurkje. Elk ekstra talitting delt it symptoom en lit in gat efter dat it ynsidint en de oantins deroan oerlibbet. Werstel, ferbynje opnij, en hâld dan de mislearre ferliking njonken it ferslach fan wat jo besocht hawwe.
Nei in slagge feroaring moat it bestân op skiif de rinnende regelset beskriuwe, en befêstigje dat in werladen dy werprodusearret. In libbene regelset dy't fan syn eigen konfiguraasjebestân ôfdwaald is, is in falstrik set foar de folgjende werstart.