Tűzfalcsomag telepítve, a szabályok eltűntek az újraindítás után

A csomag tisztán települt, a szabályokat tesztelték, és a következő újraindítás után az átjáró teljesen nyitva állt. A tranzakcióban semmi nem hibázott; a hiba abban a feltevésben volt, hogy mi marad meg. A tűzfal-eszközök telepítése, annak eldöntése, mely szabályoknak kell túlélniük, és visszaállításuk a megfelelő pillanatban három külön feladat.

Mit mond valójában a tünet

Az újraindításkor eltűnő szabálykészletnek három gazdája közül van egy: semmi nem mentette el, valami más lecserélte, vagy azelőtt állították vissza, hogy létezett volna az, amitől függ. Az első kettő a konfigurációban látszik; a harmadik csak a sorrendben jelenik meg. Ezért tűnhet egy újraindítás adatvesztésnek, amikor valójában sorrendprobléma.

Kezdje annak leírásával, ami az újraindítás előtt igaz volt: melyik szolgáltatás tartotta a szabályokat, melyik fájlt vagy adatbázist olvasta induláskor, és hogy írtak-e valaha abba a forrásba. Az élő szabálykészlet, amelyet senki nem mentett el, érvényes magyarázat, és ez a leggyakoribb.

Ne a csomag újratelepítésével kezdje.

Olvassa el a perzisztenciaeszközt, mielőtt használja

A Debian eszközei a perzisztenciát bővítményproblémaként kezelik: minden bővítmény tudja, hogyan írja saját szabályait, és egy burkoló hívja őket. A mentési művelete mindent tárol, ami abban a pillanatban be van töltve, az indítási művelete pedig visszatölti ezt a pillanatképet. Egyik művelet sem vizsgálja felül, hogy mit tárol.

Ez pillanatkép, nem felülvizsgálat. Egy hibakeresési munkamenetből maradt engedély, egy félbemaradt kísérlet vagy egy másik segédeszköz által beszúrt megengedő szabály mind tartóssá válik a szabályzat mellett, amelyet meg akart tartani. Az állapot mentése és az állapot jóváhagyása külön tevékenység, és csak az egyikük igényel mérlegelést. Először olvassa el a betöltött készletet, aztán döntse el, mely sorok érdemlik meg a túlélést.

Szándékosan mentse, miután elolvasta, mi van betöltve.

Döntse el, minek kell túlélnie

Egyes szabályok egy interfész életciklusához tartoznak, és vele együtt el kell tűnniük. Másoknak túl kell élniük az alagutat, és a legvilágosabb példa egy korlátozás, amely megtiltja, hogy az ügyfélforgalom visszaessen a fizikai interfészre, amikor az alagút leesik. Ennek a két kategóriának különböző visszaállítási kiváltókra van szüksége, nem egy közös pillanatképre.

Írja le a kívánt eredményt három pillanatra: indítás, VPN-aktiválás és alagútvesztés. Utána ellenőrizze, hogy a választott eszköz ki tudja-e fejezni mindegyiket. Egy statikus pillanatképet újratöltő perzisztenciacsomag az elsőt kezeli, a többit talán egyiket sem, mert a pillanatképnek fogalma sincs arról, mikor változott az alagút állapota. Ha nem tudja kifejezni őket, a hiány másik komponenshez tartozik.

A szabályzat dönti el a választ, nem a csomag.

Ellenőrizze a visszaállítás sorrendjét

A fájl visszaállítása nem ugyanaz, mint a végeredmény birtoklása. Egy másik kezelő lecserélheti a szabályokat, egy korábbi engedély elfedheti őket, vagy az ügyfelek már küldhetnek, mielőtt a korlátozás érvénybe lép. Vizsgálja meg az indítási és újracsatlakozási viselkedést, ne csak egy mentett fájl meglétét.

systemctl status netfilter-persistent
iptables -S

Ne feltételezze, hogy a perzisztenciaszolgáltatás leállítása ártalmatlan, mert a csomag feltételes ürítést dokumentál leállításkor. Állapítsa meg a szolgáltatás tényleges konfigurációját, mielőtt a leállítást vagy az újraindítást kísérletként használná egy távolról igazgatott átjárón. Egy konzolmunkamenet és egy dokumentált visszaállás a minimum a teszt előtt.

A sorrend a futó rendszer tulajdonsága, nem a lemezen lévő fájl tulajdonsága.

Fogadjon el három külön eredményt

Rögzítse a csomag telepítését, a betöltött szabálykészletet és az érvényesített szabályzatot külön tényként. Egy csomagnév egy támogatási szálban csak az elsőre válaszol, és ez az, amely ritkán számít.

nft list ruleset

Utána teszteljen egy engedélyezett műveletet és egy kötelező elutasítást.

Ha az elutasítás újraindítás után és alagútvesztés után is tart, a szabályzat túlél. Ha csak az egyik állapotban tart, megtalálta a sorrendproblémát, ahelyett hogy kijavította volna.