Ugniasienės paketas įdiegtas, taisyklės dingo po perkrovimo

Paketas įdiegtas švariai, taisyklės išbandytos, o po kito perkrovimo vartai buvo plačiai atviri. Sandoryje niekas nepavyko; klaida buvo prielaidoje, kas išliks. Įdiegti ugniasienės įrankius, nuspręsti, kurios taisyklės turi išlikti, ir atkurti jas tinkamu metu yra trys atskiri darbai.

Ką simptomas iš tikrųjų sako

Taisyklių rinkinys, išnykstantis po perkrovimo, turi vieną iš trijų šeimininkų: niekas jo neišsaugojo, kažkas kita jį pakeitė arba jis buvo atkurtas anksčiau, nei atsirado tai, nuo ko jis priklauso. Pirmieji du matomi konfigūracijoje; trečiasis pasirodo tik tvarkoje. Todėl perkrovimas gali atrodyti kaip duomenų praradimas, nors iš tikrųjų tai tvarkos problema.

Pradėkite nuo to, kas buvo tiesa prieš perkrovimą: kuri tarnyba laikė taisykles, kurį failą ar duomenų bazę ji skaitė paleidžiant ir ar į tą šaltinį kada nors buvo rašoma. Aktyvus taisyklių rinkinys, kurio niekas neišsaugojo, yra pagrįstas paaiškinimas ir dažniausias.

Nepradėkite nuo paketo įdiegimo iš naujo.

Perskaitykite tęstinumo įrankį prieš jį naudodami

Debian įrankiai tęstinumą traktuoja kaip papildinio problemą: kiekvienas papildinys žino, kaip parašyti savo taisykles, o vienas apvalkalas juos kviečia. Jo išsaugojimo veiksmas saugo viską, kas tuo metu įkelta, o paleidimo veiksmas įkelia tą momentinę kopiją atgal. Nė vienas veiksmas neperžiūri, ką saugo.

Tai momentinė kopija, o ne peržiūra. Likusi leidimo taisyklė iš derinimo sesijos, nebaigtas eksperimentas ar kito pagalbinio įrankio įterpta leidžianti taisyklė visi tampa nuolatiniai šalia politikos, kurią norėjote išlaikyti. Būsenos išsaugojimas ir būsenos patvirtinimas yra skirtingos veiklos, ir tik viena jų reikalauja sprendimo. Pirmiausia perskaitykite įkeltą rinkinį, tada nuspręskite, kurios eilutės vertos išlikti.

Saugokite sąmoningai, perskaitę, kas įkelta.

Nuspręskite, kas turi išlikti

Kai kurios taisyklės priklauso sąsajos gyvavimo ciklui ir turėtų išnykti kartu su ja. Kitos turi pergyventi tunelį, o aiškiausias pavyzdys yra apribojimas, kuris draudžia klientų srautui grįžti į fizinę sąsają, kai tunelis krenta. Šioms dviem kategorijoms reikia skirtingų atkūrimo trigerių, o ne vienos bendros momentinės kopijos.

Užrašykite numatomą rezultatą trims momentams: įkėlimas, VPN aktyvavimas ir tunelio praradimas. Tada patikrinkite, ar pasirinktas įrankis gali išreikšti kiekvieną. Tęstinumo paketas, iš naujo įkeliantis statinę momentinę kopiją, tvarko pirmąjį ir galbūt nė vieno kitų, nes momentinė kopija nežino, kada pasikeitė tunelio būsena. Jei jis negali jų išreikšti, spraga priklauso kitam komponentui.

Atsakymą lemia politika, o ne paketas.

Patikrinkite atkūrimo tvarką

Failo atkūrimas nėra tas pats, kas rezultato valdymas. Kita tvarkyklė gali pakeisti taisykles, ankstesnis leidimas gali jas užgožti, arba klientai gali pradėti siųsti anksčiau, nei įsigalios apribojimas. Peržiūrėkite paleidimo ir prisijungimo iš naujo elgseną, o ne tik išsaugoto failo buvimą.

systemctl status netfilter-persistent
iptables -S

Nemanote, kad tęstinumo tarnybos sustabdymas nekenksmingas, nes paketas dokumentuoja sąlyginį išvalymą, kai ji sustoja. Nustatykite tikrąją tarnybos konfigūraciją prieš naudodami sustabdymą ar perkrovimą kaip eksperimentą vartuose, kuriuos administruojate nuotoliniu būdu. Konsolės sesija ir dokumentuotas atsukimas yra minimumas prieš tą testą.

Tvarka yra veikiančios sistemos savybė, o ne failo diske.

Priimkite tris atskirus rezultatus

Užregistruokite paketo įdiegimą, įkeltą taisyklių rinkinį ir įgyvendintą politiką kaip atskirus faktus. Paketo pavadinimas pagalbos temoje atsako tik į pirmąjį, ir būtent jis retai būna svarbus.

nft list ruleset

Tada išbandykite leidžiamą operaciją ir privalomą atmetimą.

Jei atmetimas išlieka po perkrovimo ir po tunelio kritimo, politika išlieka. Jei jis išlieka tik vienoje iš šių būsenų, radote tvarkos problemą, o ne ją ištaisėte.