Өзүңүздү сыртка камап койбостон firewall өзгөртүүлөрүн текшерүү
Эреже киргизилгенге чейин калыбына келтирүү жолдоруңузду ирети менен тизиңиз, анан аман калган сессия менен эмес, жаңы саясат баалай турган агым менен текшериңиз.
Эреже кирет, колуңуздагы терминал жооп берүүнү улантат, ал эми кийинки кирүү четке кагылат. Өзгөртүп жаткан байланыш аркылуу firewall өзгөртүүсүн текшерүүнүн бардык кыйынчылыгы ушул ажырымда. Байланышты көзөмөлдөө бир жолу чечим кабыл алып, анан кароону токтотот, ошондуктан орногон агым жаңы саясатты көрө албаган жалгыз текшерүү болуп саналат. Андан ары кайтуунун үч жолу салыштырылат, анан эрежелерди кандай тартипте өзгөртүп, текшерүү белгиленет.
Эмне үчүн аман калган сессия эң алсыз далил
Абалы бар firewall агымдын биринчи пакетин баалайт жана жазуу тирүү турганча ошол өкүмдү сактайт. Кийин кошулган эрежелер кийин башталган агымдарга колдонулат, ошондуктан сиз терип жаткан терезе колдонууга жарамдуу бойдон калат, ал эми калгандардын баары четке кагылат. Андан үйрөнгөнүңүз бир нече мүнөт мурун күчүндө болгон саясатты сүрөттөйт. Ал тургай ошол агымда алынган жазуу да машина мурун эле кабыл алган чечимди көрсөтөт.
Иштеп жаткан сессияны өлчөө эмес, авариялык чыгуу катары караңыз. Ар бир маанилүү текшерүү жаңы эреже баалай турган булактан жаңы агым ачууга тийиш, ал эми биринчи текшерүү ийгиликсиз болгондо эң катуу оорута турган текшерүү болушу керек. Ошол сессия ичке кирүүнүн жалгыз жолу болсо, өзгөртүү али жасоого даяр эмес.
Кайтуунун үч жолу, ар бири эмнеге көз каранды экенине жараша тизилген
Варианттарды сыналып жаткан түзмөккө канчалык көз каранды экенине жараша тизиңиз, анткени эреже туура эмес болуп чыкканда ушул тартипке кайрыласыз. Firewall аркылуу эч качан өтпөгөн консоль көз карандысыз, машыктырылган кайтаруу дээрлик ошондой, ал эми мурун эле ачык сессия андай эмес.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Өзгөртүүдөн мурун консоль аркылуу кирип, анын иштээрин далилдеңиз, анткени эч качан колдонбогон сырткы жол диаграмма, камдык план эмес. Кайтаруу өз ордун ошол платформада, ошол эрежелер жыйындысы менен, бекитилген жол-жобону карманып жасалган машыгуудан кийин гана алат, тирүү машинада ойдон чыгаруунун ордуна. Кадамдарды жазып, башка бирөөгө окутуп беришин сураныңыз. Эгер ырааттуулукту бүтүрүү үчүн сиздин эсиңиз керек болсо, бул план эмес.
Бир өзгөртүү, анан баалануучу байланыш
Иштеп жаткан эрежелер жыйындысын жана ага ээлик кылган файлды сактаңыз, анан бир гана кууш оңдоо жасаңыз. Ар бир сыноого бир өзгөртүү натыйжаны таандык кылууга мүмкүндүк берет; экөөнү бир убакта жасасаңыз, иштеп жаткан машина жана кайсы оңдоо иштегенин билбей каласыз. Платформа конфигурацияны жүктөбөстөн талдай алган жерде аны биринчи жасаңыз, ошентип терип катасы эч нерсе тобокелде болбогондо аныкталат.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confАнан консоль дагы туташкан бойдон, өзгөртүлгөн эрежеге туура келе турган булактан жаңы сессия баштаңыз. Ийгиликтүү болсо бир жолу кайталаңыз, анткени биринчи аракет таблицада мурун эле бар жазууга туш келиши мүмкүн. Ийгиликсиз болсо, ичке кирүү жолу жана артка кайтаруу чечими дагы деле бар, жана бул жеткиликтүү эң арзан жаман натыйжа.
Эсептегичтер, абал жана файл ар кандай суроолорго жооп берет
Үч байкоонун ар бири өзүнчө ишенимдүү көрүнүп, калган экөө жөнүндө адаштырышы мүмкүн. Эсептегичтер жаңы эле түзгөн агымыңыз оңдолгон эрежеге жеткенин көрсөтөт. Абал таблицасы машина кайсы агымдарды мурун эле орногон деп эсептей турганын көрсөтөт, ошентип бузулган эреже да сапаттуу көрүнүшү мүмкүн. Сакталган файл түзмөк кийинки кайра жүктөөдөн кийин эмне кыларын көрсөтөт, ал эми бул азыр иштеп жаткан эрежелер жыйындысы кылып жаткан нерсе болбошу мүмкүн.
ss -tn state establishedЭсептегичтерди сумма эмес, дельта катары окуңуз, анткени маанилүү жалгыз сан — сыноо агымыңыз жылдырган сан. Эсептегичи эч качан өспөгөн эреже дал келбейт, кагазда канчалык туура көрүнбөсүн. Четке кагуу учурун да ырастаңыз: эч качан эч нерсени четке какпаган саясат тосконду каалаганыңызды четке кагарын эч качан далилдеген эмес. Жайылтуу чынында алып жүргөн ар бир үй-бүлөдө бир интерфейстен өтүңүз, анткени v4 эрежеси v6 агымы жөнүндө эч нерсе айтпайт.
Сакталган эрежелер жыйындысынан калыбына келтириңиз, анан файлды шайкештештириңиз
Өзгөртүү ийгиликсиз болгондо, кирүүлөр кайра иштегенче уруксат берүүчү эрежелерди кошуунун ордуна сакталган эрежелер жыйындысын жүктөңүз. Ар бир кошумча уруксат симптомду басаңдатып, окуядан жана анын эсинде калганынан узак жашаган тешик калтырат. Калыбына келтириңиз, кайра туташыңыз, анан ийгиликсиз салыштырууну эмнени сынаганыңыздын жазуусунун жанында кармаңыз.
Ийгиликтүү өзгөртүүдөн кийин дисктеги файл иштеп жаткан эрежелер жыйындысын сүрөттөсүн, жана кайра жүктөө аны кайра жаратарын ырастаңыз. Өз конфигурация файлынан четтеп кеткен тирүү эрежелер жыйындысы кийинки кайра жүктөө үчүн коюлган тузак.