Firewall-Ännerungen testen, ouni sech selwer auszesperren
Reit Är Erhuelungsweeër, ier d'Regel era geet, a verifizéiert dann mat engem Flux, deen déi nei Politik evaluéiere muss, amplaz mat der Sessioun, déi iwwerlieft huet.
D'Regel geet eran, den Terminal, den Dir schon hutt, äntwert weider, an déi nächst Umeldung gëtt refuséiert. Genau dës Lück ass déi ganz Schwierigkeit, eng Firewall-Ännerung iwwer déi Verbindung ze testen, déi Dir ännert. D'Verbindungsverfolgung entscheet eemol a hält dann op ze kucken, dofir ass en etabléierte Flux déi eenzeg Prüfung, déi déi nei Politik net ka gesinn. Wat duerno kënnt, vergläicht déi dräi Weeër zréck a festleeë dann d'Reiefolleg, an där d'Reegele geännert a gepréift musse ginn.
Firwat déi iwwerlieft Sessioun de schwaachste Beweis ass
En zoustännegen Firewall evaluéiert de éischte Pak vun engem Flux a behält dee Verdikt, sou laang wéi den Aschreiwung lieft. Reegele, déi duerno bäigefüügt ginn, gëllen fir Flëss, déi méi spéit ufänken, dofir bleift d'Fënster, an där Dir tippt, benotzbar, wärend all déi aner refuséiert ginn. Wat Dir doraus léiert, beschreift d'Politik, déi viru Minutten a Kraaft war. Och eng Opnam, déi op deem Flux geholl gëtt, weist eng Entscheedung, déi d'Maschinn schonn getraff huet.
Behandelt déi funktionéierend Sessioun als Noutausgang an net als Miessung. All Prüfung, déi et wäert ass, muss en neie Flux aus enger Quell opmaachen, déi déi nei Regel evaluéiert, an déi éischt Prüfung soll déi sinn, deenen hire Feelschlag am meeschte wéi deet. Wann déi Sessioun Ären eenzegen Wee eran ass, ass d'Ännerung nach net fäerdeg fir gemaach ze ginn.
Dräi Weeër zréck, geuerdnet no deem, vun deem jiddereen ofhängt
Reit d'Optiounen no, wéi vill se vum geteste Gerät ofhänken, well op dës Reiefolleg gräift Dir zréck, wann d'Regel sech als falsch erweist. Eng Konsole, déi ni duerch d'Firewall geet, ass onofhängeg, eng ageübt Zrécksetzung bal esou, an déi Sessioun, déi schonn oppen ass, net.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Mellt Iech virun der Ännerung iwwer d'Konsole un a bewaist, datt se funktionéiert, well en Out-of-Band-Wee, deen Dir ni benotzt hutt, ass en Diagramm an net eng Ersatzléisung. Eng Zrécksetzung verdéngt hire Plaz eréischt no enger Übung op där Plattform, mat deem Reegelset, no der approuvéierter Prozedur amplaz improviséieren op enger lieweger Maschinn. Schreift d'Schrëtt op a loosst se vun engem aneren zréckliesen. Wann d'Reiefolleg Är Erënnerung brauch fir fäerdeg ze ginn, ass et kee Plang.
Eng Ännerung, dann eng Verbindung, déi evaluéiert muss ginn
Späichert de liewege Reegelset an d'Datei, déi en huet, a maacht dann eng eenzeg schmuel Ännerung. Eng Ännerung pro Test hält d'Resultat zouzerechnen; zwou op eemol loosse Iech mat enger funktionéierender Maschinn an ouni Iddi, wéi eng Ännerung d'Aarbecht gemaach huet. Wou d'Plattform eng Konfiguratioun analyséiere kann, ouni se ze lueden, maacht dat als éischt, sou datt e Tippfeeler feelt, wärend näischt um Spill steet.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confStart dann eng nei Sessioun aus enger Quell, déi déi geännert Regel entsprécht, wärend d'Konsole nach ugeschloss ass. Widderhëlt et eemol, wann et geléngt, well den éischte Versuch op en Aschreiwung lande kann, deen den Table schon hat. Wann et feelt, hutt Dir nach e Wee eran an eng Entscheedung zréckzezéien, an dat ass dat bëllegst schlecht Resultat, wat et gëtt.
Comptoiren, Zoustand an d'Datei beäntwerte verschidde Froen
Jidwer vun den dräi Observatiounen kann eleng iwwerzeegend ausgesinn an Iech iwwer déi aner zwee täuschen. Comptoiren weisen, ob de Flux, deen Dir just gemaach hutt, d'Regel erreecht huet, déi Dir geännert hutt. Den Zoustandstabell weist, wéi eng Flëss d'Maschinn gleeft, déi schonn etabléiert sinn, an esou kann eng futti Regel ëmmer nach gesond ausgesinn. Déi gespäichert Datei weist, wat d'Gerät no der nächster Neiopladung wäert maachen, an dat ass vläicht net dat, wat de lafende Reegelset just elo mécht.
ss -tn state establishedLiest Comptoiren als Delta an net als Total, well déi eenzeg Zuel, déi zielt, ass déi, déi Äre Testflux beweegt huet. Eng Regel, deenen hire Comptoir ni klëmmt, entsprécht net, sou richteg wéi se um Pabeier ausgesäit. Bestätegt och de Refusfall: eng Politik, déi ni eppes refuséiert huet, huet ni bewisen, datt se refuséiert, wat Dir wëllt blockéieren. Gitt duerch eng Interface an all Famill, déi d'Deploiement wierklech dréit, well eng v4-Regel seet näischt iwwer e v6-Flux.
Stellt aus dem gespäicherte Reegelset hier, da bréngt d'Datei an d'Rei
Wann d'Ännerung feelt, lued de gespäicherte Reegelset amplaz erlaabend Reegele bäizesetzen, bis d'Umeldungen erëm funktionéieren. All zousätzlech Erlaabnis berouegt de Symptom a léisst e Lach, dat den Tëschefall an d'Erënnerung drun iwwerlieft. Stellt hier, verbënnt Iech erëm, a behält dann de feelgeschloene Verglach nieft dem Rekord vun deem, wat Dir probéiert hutt.
No enger gelungener Ännerung soll d'Datei op der Plack de lafende Reegelset beschreiwen, a bestätegt, datt eng Neiopladung en reproduzéiert. En liewege Reegelset, deen aus senger eegener Konfiguratiounsdatei gedriwwe kënnt, ass eng Fal fir den nächsten Neistart.