Breyting á eldveggjarreglu virkar ekki: röð reglna og staða tengingar

Þú breyttir reglunni, hleðst reglusettinu aftur, og göngin hegða sér nákvæmlega eins og áður. Þessi niðurstaða hefur tvær algengar orsakir, og þær krefjast mismunandi prófana. Annaðhvort stendur nýja reglan á eftir fyrri reglu sem hefur þegar samþykkt pakkann, eða skiptin sem þú fylgist með eru rakin tenging sem breytingin metur aldrei aftur. Regla í skrá lýsir fyrirætlun; það sem ræður örlögum pakkans er virka leiðin sem hann mætir. Farðu í gegnum prófin hér að neðan í röð og haltu leið til baka opinni á meðan.

Röð reglna og staða tengingar eru mismunandi bilanir

Röðuðum keðjum er metið ofan frá og niður, og fyrsta reglan sem nær endanlegri úrlausn endar gönguna í gegnum þá keðju. Settu breitt samþykki ofan á vandlega skrifaða læsingarreglu, og læsingarreglan verður að skjali: hún er í reglusettinu, teljarinn hennar er núll, og enginn pakki mun nokkurn tíma ná henni. Sami texti settur á aðra keðju sannar ekkert heldur. Í nftables festast grunnkeðjur við króka eftir forgangi, svo samþykki í einni keðju kemur ekki í veg fyrir að önnur keðja á öðrum krók eða forgangi sjái sama pakkann.

Tengingarakning framleiðir annað einkennið, og að utan lítur það nákvæmlega eins út. Þegar flæði er komið í stöðutöfluna snýr samþykki fyrir established-or-related nálægt toppi keðjunnar til baka áður en nýja reglan þín er jafnvel skoðuð. NAT-vörpun hefur sömu eiginleika: þýðingin var fest þegar flæðið hófst, svo breytt postrouting-regla endurskrifar ekki setu sem er þegar í gangi. Þess vegna virðist breyting virka klukkan 09:00 fyrir nýja tengingu og virðist gera ekkert fyrir setuna sem einhver opnaði klukkan 08:55.

Öryggishópar í skýi bæta við þriðja líkaninu sem grípur fólk sem lærði á iptables. Innkomandi reglur þeirra eru leyfislisti sem metinn er sem mengi frekar en ganga eftir fyrsta samræmi, þær eru stöðufestar, og að fjarlægja leyfisreglu stöðvar ekki flæði sem þegar er rakið. Að gera ráð fyrir merkingu fyrsta samræmis á vettvangi sem hefur hana ekki leiðir til sjálfsöruggra, rangra ályktana.

Lestu virka reglusettið, ekki skrána sem þú breyttir

Byrjaðu á því sem kjarninn framfylgir núna. Vistuð stilling sem var aldrei beitt útskýrir furðu marga óbreytta hegðun, og að útiloka hana kostar eina skipun:

nft list ruleset
iptables-save

Spyrðu þá hvort reglan þín náist yfirhöfuð. Pakkateljarar svara því beint og svara því betur en nokkur röksemd um fyrirætlun:

iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forward

Læsingarregla með núll pökkum eftir raunverulega prófunartilraun er ekki stefnumál heldur staðsetningarmál. Að færa hana er breyting á einni línu, og setningafræðin er nákvæmlega það sem olli upprunalegu villunni. Með iptables -I setur inn og -A bætir við í lokin; með nftables insert setur reglu í upphaf keðjunnar á meðan add bætir við í lokin. Þegar regla verður að vinna, segðu það skýrt í stað þess að treysta röðinni sem var óvart hlaðið.

Sannaðu hvort flæðið er rakið

Áður en þú kennir reglunni um, athugaðu hvort umferðin sé yfirhöfuð rakin tenging. Spurðu stöðutöfluna um tiltekið flæði í stað þess að hella henni allri út:

conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194

Listinn sýnir stöðuna og eftirstöðvar tímannörks, og þannig greinir þú festa setu frá nýrri tilraun; atburðarhamurinn prentar uppfærslur um leið og þær gerast, sem er gagnlegt meðan þú tengir biðlara aftur. Ef flæðið er til staðar í festri stöðu áður en þú snertir nokkuð mun engin breyting á síureglunum breyta örlögum þess. Þetta er ekki villa í eldveggnum, þetta er samningur stöðufestrrar síunar.

Standist freistinguna að tæma alla töfluna á framleiðslugátt. conntrack -F er í boði, og það eyðileggur líka hvert rakið flæði á vélinni, þar á meðal stjórnsetuna sem þú vinnur úr og göngin sem bera skelina þína. Hægt er að eyða einstökum færslum þegar þú þarft þess sannarlega, en nýtt flæði frá nýrri upptökuhöfn er venjulega hreinna tilraun.

Sumar leiðir eru ekki raktar, og þær hegða sér öfugt. Umferð merkt notrack í raw-töflunni, sum göng sem fara fram hjá venjulegum krókum og ósamhverf leiðsögn sem skiptir flæði milli tveggja gátta framleiða öll pakka sem metnir eru einn í einu, eða stöðu sem verður aldrei til á báðum endum. Ef teljararnir hreyfast fyrir hvern pakka skaltu gruna slíka leið áður en þú grunar röðina.

Prófaðu frá nýju flæði með leið til baka

Áður en þú prófar reglu sem gæti skorið á fjartengingu skaltu koma á endurheimtarleið: stjórnborð veitandans, raðtengiborð, stjórnslóð utan bands eða annað tengi sem reglan getur ekki náð. Endurkallstími er sanngjarn félagi, því hann endurheimtir fyrra reglusettið jafnvel þótt setan þín deyi í miðju prófi.

Prófaðu síðan með skiptum sem staðan gat ekki þegar hulið. Aftengdu og tengdu biðlarann aftur svo nýr fimmfaldur verði til, og fylgstu með báðum endum á meðan það gerist:

tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pager

Keyrðu prófið í báðar áttir. Regla sem lokar nýja innkomandi handabandinu getur samt leyft svarleiðina, eða öfugt, og einátta niðurstaða er venjulega ástæðan fyrir því að læsing virkar hálfa leið. Tengdu aftur einu sinni eftir prófið til að staðfesta stöðuga stöðu, og athugaðu hvort lögmætur stjórnaðgangur hafi lifað; regla skrifuð fyrir eina höfn hefur tilhneigingu til að passa við breiðara svið en ætlað var.

Skráðu tilgang og staðsetningu með reglunni

Regla án skráðs tilgangs er regla sem enginn þorir að fjarlægja. Við hverja læsingarfærslu skaltu geyma flæðið sem hún verndar, keðjuna og krókinn sem hún lifir í, stöðuna sem hún verður að halda gagnvart breiðari samþykkjum, og prófið sem sannaði það. Þegar einhver breytir nærliggjandi reglusetti sex mánuðum síðar er sú athugasemd eina viðvörunin um að staðsetningin hafi verið viljandi.

Áður en þú lokar breytingunni skaltu staðfesta fjóra hluti: virka reglusettið samsvarar skránni, nýja reglan hefur teljara sem eru ekki núll eftir nýja tilraun, öfug átt og stjórnaðgangur virka enn, og þú hefur tengst aftur einu sinni til að sanna stöðuga stöðu í stað stöðu setu sem er eldri en breytingin. Ef eitthvað af þessu er óstaðfest er breytingunni ekki lokið, hvað sem göngin gera.