Ugunsmūra izmaiņu pārbaude, neieslēdzot sevi ārpusē
Sakārtojiet atjaunošanas ceļus pirms noteikuma ieviešanas, pēc tam pārbaudiet ar plūsmu, kuru jaunajai politikai ir jāizvērtē, nevis ar sesiju, kas izdzīvoja.
Noteikums tiek ievietots, jau esošais terminālis turpina atbildēt, un nākamā pieteikšanās tiek noraidīta. Tieši šī plaisa ir visas grūtības, pārbaudot ugunsmūra izmaiņas pa to savienojumu, kuru jūs maināt. Savienojumu izsekošana izlemj vienreiz un pēc tam pārstāj skatīties, tāpēc izveidotā plūsma ir vienīgā pārbaude, kas nespēj saskatīt jauno politiku. Turpinājumā tiek salīdzināti trīs atgriešanās ceļi, pēc tam noteikta secība, kādā mainīt un pārbaudīt noteikumus.
Kāpēc izdzīvojusī sesija ir vājākais pierādījums
Stāvokļa ugunsmūris izvērtē plūsmas pirmo paketi un patur šo spriedumu tik ilgi, kamēr ieraksts ir dzīvs. Vēlāk pievienotie noteikumi attiecas uz plūsmām, kas sākas vēlāk, tāpēc logs, kurā jūs rakstāt, paliek lietojams, kamēr visi pārējie tiek noraidīti. Tas, ko no tā uzzināt, raksturo politiku, kas bija spēkā pirms dažām minūtēm. Pat šajā plūsmā uzņemts ieraksts parāda lēmumu, ko mašīna jau pieņēmusi.
Uztveriet strādājošo sesiju kā avārijas izeju, nevis kā mērījumu. Katrai jēgpilnai pārbaudei ir jāatver jauna plūsma no avota, kuru izvērtēs jaunais noteikums, un pirmajai pārbaudei jābūt tai, kuras neveiksme sāpētu visvairāk. Ja šī sesija ir vienīgais ceļš iekšā, izmaiņa vēl nav gatava.
Trīs atgriešanās ceļi, sakārtoti pēc tā, no kā katrs atkarīgs
Sakārtojiet variantus pēc tā, cik lielā mērā tie ir atkarīgi no pārbaudāmās ierīces, jo tieši šai secībai jūs ķeraties, kad noteikums izrādās nepareizs. Konsole, kas nekad neiet caur ugunsmūri, ir neatkarīga, izmēģināta atritināšana ir gandrīz tāda, bet jau atvērtā sesija nav.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Pirms izmaiņas piesakieties caur konsoli un pierādiet, ka tā strādā, jo ārpusjoslas ceļš, kuru nekad neesat izmantojis, ir shēma, nevis rezerves variants. Atritināšana savu vietu pelna tikai pēc mēģinājuma šajā platformā, ar šo noteikumu kopumu, ievērojot apstiprināto procedūru, nevis improvizējot uz dzīvas mašīnas. Pierakstiet soļus un lieciet kādam citam tos nolasīt. Ja secībai, lai to pabeigtu, vajadzīga jūsu atmiņa, tā nav plāns.
Viena izmaiņa, pēc tam savienojums, kas jāizvērtē
Saglabājiet darbojošos noteikumu kopumu un failu, kuram tas pieder, pēc tam veiciet vienu šauru labojumu. Viena izmaiņa vienā testā ļauj rezultātu attiecināt; divas uzreiz atstāj strādājošu mašīnu un nekādu priekšstatu, kurš labojums paveica darbu. Kur platforma spēj analizēt konfigurāciju, to neielādējot, dariet to vispirms, lai drukas kļūda ciestu neveiksmi, kamēr nekas nav uz spēles.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confPēc tam sāciet jaunu sesiju no avota, kuram atbildīs mainītais noteikums, kamēr konsole vēl ir pievienota. Atkārtojiet vienreiz, ja izdodas, jo pirmais mēģinājums var nonākt uz ierakstu, kas tabulā jau bija. Ja neizdodas, jums joprojām ir ceļš iekšā un lēmums, ko atsaukt, un tas ir lētākais sliktais iznākums, kāds pieejams.
Skaitītāji, stāvoklis un fails atbild uz dažādiem jautājumiem
Katrs no trim novērojumiem var šķist pārliecinošs pats par sevi un maldināt par pārējiem diviem. Skaitītāji rāda, vai tikko izveidotā plūsma sasniedza laboto noteikumu. Stāvokļa tabula rāda, kuras plūsmas mašīna uzskata par jau izveidotām, un tā bojāts noteikums var joprojām izskatīties vesels. Saglabātais fails rāda, ko ierīce darīs pēc nākamās pārlādes, un tas var nebūt tas, ko darbojošais noteikumu kopums dara tagad.
ss -tn state establishedLasiet skaitītājus kā deltu, nevis kā summu, jo vienīgais svarīgais skaitlis ir tas, ko pārvietoja jūsu testa plūsma. Noteikums, kura skaitītājs nekad nepalielinās, nesakrīt, lai cik pareizi tas izskatītos uz papīra. Apstipriniet arī noraidīšanas gadījumu: politika, kas nekad neko nav noraidījusi, nekad nav pierādījusi, ka noraida to, ko gribējāt bloķēt. Izejiet cauri vienai saskarnei katrā saimē, ko izvietojums patiešām nes, jo v4 noteikums neko nesaka par v6 plūsmu.
Atjaunojiet no saglabātā noteikumu kopuma, pēc tam saskaņojiet failu
Kad izmaiņa neizdodas, ielādējiet saglabāto noteikumu kopumu, nevis pievienojiet atļaujošus noteikumus, līdz pieteikšanās atkal strādā. Katra papildu atļauja nomierina simptomu un atstāj caurumu, kas pārdzīvo starpgadījumu un atmiņu par to. Atjaunojiet, pievienojieties no jauna, pēc tam glabājiet neizdevušos salīdzinājumu līdzās tam, ko mēģinājāt, ierakstam.
Pēc veiksmīgas izmaiņas lai fails diskā apraksta darbojošos noteikumu kopumu, un apstipriniet, ka pārlāde to atveido. Darbojošs noteikumu kopums, kas attālinājies no sava konfigurācijas faila, ir slazds nākamajai palaišanai.