Փորձարկել firewall-ի փոփոխությունները՝ առանց ինքդ քեզ դուրս կողպելու
Դասավորեք ձեր վերականգնման ուղիները կանոնը մտցնելուց առաջ, ապա ստուգեք հոսքով, որը նոր քաղաքականությունը պետք է գնահատի, այլ ոչ այն աշխատաշրջանով, որը վերապրեց։
Կանոնը մտնում է, այն տերմինալը, որն արդեն ունեք, շարունակում է պատասխանել, իսկ հաջորդ մուտքը մերժվում է։ Այդ բացն է այն ամբողջ դժվարությունը՝ փորձարկել firewall-ի փոփոխությունը այն կապի վրայով, որը փոխում եք։ Կապի հետևումը որոշում է մեկ անգամ և հետո դադարում նայել, ուստի հաստատված հոսքը միակ ստուգումն է, որը չի կարող տեսնել նոր քաղաքականությունը։ Հաջորդիվ համեմատվում են վերադառնալու երեք ուղիները, ապա սահմանվում է այն հերթականությունը, որով պետք է փոխել և ստուգել կանոնները։
Ինչու վերապրած աշխատաշրջանն ամենաթույլ ապացույցն է
Վիճակով firewall-ը գնահատում է հոսքի առաջին փաթեթը և պահում այդ վճիռը քանի դեռ գրառումը կենդանի է։ Հետագայում ավելացված կանոնները վերաբերում են ավելի ուշ սկսվող հոսքերին, դրա համար էլ այն պատուհանը, որտեղ մուտքագրում եք, մնում է օգտագործելի, մինչ բոլոր մյուսները մերժվում են։ Այն, ինչ սովորում եք դրանից, նկարագրում է մի քանի րոպե առաջ գործող քաղաքականությունը։ Նույնիսկ այդ հոսքի վրա արված գրավումը ցույց է տալիս որոշում, որ մեքենան արդեն կայացրել է։
Աշխատող աշխատաշրջանը դիտեք որպես արտակարգ ելք, այլ ոչ որպես չափում։ Յուրաքանչյուր արժեքավոր ստուգում պետք է բացի նոր հոսք այն աղբյուրից, որը նոր կանոնը կգնահատի, և առաջին ստուգումը պետք է լինի այն, որի ձախողումն ամենաշատը ցավեցնի։ Երբ այդ աշխատաշրջանը ձեր միակ ճանապարհն է ներս, փոփոխությունը պատրաստ չէ կատարվելու։
Վերադառնալու երեք ուղի՝ դասավորված ըստ այն բանի, ինչից կախված է յուրաքանչյուրը
Դասավորեք տարբերակները ըստ այն բանի, թե որքան են դրանք կախված փորձարկվող սարքից, որովհետև այդ դասավորությանն եք դիմում, երբ կանոնը սխալ է պարզվում։ Այն կոնսոլը, որը երբեք չի անցնում firewall-ով, անկախ է, փորձարկված հետադարձը գրեթե այդպիսին է, իսկ արդեն բաց աշխատաշրջանը՝ ոչ։
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Փոփոխությունից առաջ մուտք գործեք կոնսոլով և ապացուցեք, որ այն աշխատում է, որովհետև ժապավենից դուրս այն ուղին, որը երբեք չեք օգտագործել, սխեմա է, ոչ թե պահուստ։ Հետադարձը իր տեղը վաստակում է միայն այդ հարթակում, այդ կանոնների հավաքածուով, հաստատված ընթացակարգով կատարված փորձից հետո, այլ ոչ կենդանի մեքենայի վրա իմպրովիզացիայով։ Գրեք քայլերը և թող ուրիշը կարդա դրանք ձեզ համար։ Եթե հաջորդականությունը ավարտելու համար ձեր հիշողությունն է պետք, դա ծրագիր չէ։
Մեկ փոփոխություն, ապա կապ, որը պետք է գնահատվի
Պահպանեք գործող կանոնների հավաքածուն և այն ֆայլը, որը տիրապետում է դրան, ապա կատարեք մեկ նեղ խմբագրում։ Մեկ փոփոխություն յուրաքանչյուր փորձի համար արդյունքը պահում է վերագրելի. երկուսը միաժամանակ ձեզ թողնում են աշխատող մեքենա և ոչ մի պատկերացում, թե որ խմբագրումն է կատարել աշխատանքը։ Այնտեղ, որտեղ հարթակը կարող է վերլուծել կոնֆիգուրացիան առանց այն բեռնելու, արեք դա նախ, որպեսզի տպագրական սխալը ձախողվի, մինչ ոչինչ վտանգված չէ։
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confԱպա սկսեք նոր աշխատաշրջան այնպիսի աղբյուրից, որին կհամապատասխանի փոփոխված կանոնը, մինչ կոնսոլը դեռ միացված է։ Կրկնեք մեկ անգամ, եթե հաջողվի, որովհետև առաջին փորձը կարող է ընկնել մի գրառման վրա, որն աղյուսակն արդեն պահում էր։ Եթե ձախողվի, դեռ ունեք ներս մտնելու ուղի և հետ շրջելու որոշում, և դա ամենաէժան վատ ելքն է, որ հասանելի է։
Հաշվիչները, վիճակը և ֆայլը պատասխանում են տարբեր հարցերի
Երեք դիտարկումներից յուրաքանչյուրը կարող է ինքնին համոզիչ թվալ և մոլորեցնել ձեզ մյուս երկուսի հարցում։ Հաշվիչները ցույց են տալիս՝ արդյոք հենց նոր ստեղծած հոսքը հասել է ձեր խմբագրած կանոնին։ Վիճակի աղյուսակը ցույց է տալիս, թե որ հոսքերն է մեքենան արդեն հաստատված համարում, և այդպես կոտրված կանոնը կարող է դեռ առողջ երևալ։ Պահված ֆայլը ցույց է տալիս, թե ինչ կանի սարքը հաջորդ վերաբեռնումից հետո, և դա կարող է այն չլինել, ինչ հիմա անում է գործող կանոնների հավաքածուն։
ss -tn state establishedՀաշվիչները կարդացեք որպես դելտա, ոչ որպես գումար, որովհետև միակ կարևոր թիվն այն է, որը տեղափոխել է ձեր փորձնական հոսքը։ Այն կանոնը, որի հաշվիչը երբեք չի աճում, չի համապատասխանում, որքան էլ ճիշտ երևա թղթի վրա։ Հաստատեք նաև մերժման դեպքը. քաղաքականությունը, որը երբեք ոչինչ չի մերժել, երբեք չի ապացուցել, որ մերժում է այն, ինչ ուզում էիք արգելափակել։ Անցեք մեկ ինտերֆեյսով յուրաքանչյուր ընտանիքում, որը տեղակայումն իրականում կրում է, որովհետև v4 կանոնը ոչինչ չի ասում v6 հոսքի մասին։
Վերականգնեք պահված կանոնների հավաքածուից, ապա համաձայնեցրեք ֆայլը
Երբ փոփոխությունը ձախողվում է, բեռնեք պահված կանոնների հավաքածուն՝ թույլատրող կանոններ ավելացնելու փոխարեն, մինչև մուտքերը նորից աշխատեն։ Յուրաքանչյուր ավելորդ թույլտվություն հանգստացնում է ախտանիշը և թողնում անցք, որն ապրում է ավելի երկար, քան միջադեպն ու դրա հիշողությունը։ Վերականգնեք, նորից միացեք, ապա ձախողված համեմատությունը պահեք ձեր փորձի գրառման կողքին։
Հաջող փոփոխությունից հետո թող սկավառակի ֆայլը նկարագրի գործող կանոնների հավաքածուն, և հաստատեք, որ վերաբեռնումը վերարտադրում է այն։ Կենդանի կանոնների հավաքածուն, որը հեռացել է իր իսկ կոնֆիգուրացիայի ֆայլից, թակարդ է, որ դրվել է հաջորդ վերագործարկման համար։