Өөрийгөө гадаа түгжихгүйгээр галт ханын өөрчлөлтийг шалгах
Дүрэм орохоос өмнө сэргээх замуудаа цэгцэлж, дараа нь шинэ бодлого үнэлэх ёстой урсгалаар шалга, амьд үлдсэн сессээр биш.
Дүрэм орж, аль хэдийн байгаа терминал хариулсаар байх ба дараагийн нэвтрэлт татгалзагдана. Өөрчилж буй холболтоор галт ханын өөрчлөлтийг шалгах бүх хүндрэл нь энэ цоорхой юм. Холболтын хяналт нэг удаа шийдэж, дараа нь харахаа болино, тиймээс тогтсон урсгал нь шинэ бодлогыг харж чадахгүй цорын ганц шалгалт юм. Дараа нь буцах гурван замыг харьцуулж, дараа нь дүрмийг ямар дарааллаар өөрчилж, шалгахыг тодорхойлно.
Яагаад амьд үлдсэн сесс хамгийн сул нотолгоо вэ
Төлөвтэй галт хана урсгалын эхний пакетыг үнэлж, бичлэг амьд байх хугацаанд тэр шийдвэрийг хадгална. Дараа нь нэмсэн дүрмүүд дараа эхлэх урсгалд хамаарна, тиймээс таны бичиж буй цонх ашиглах боломжтой хэвээр байх ба бусад бүгд татгалзагдана. Түүнээс суралцсан зүйл хэдхэн минутын өмнө хүчинтэй байсан бодлогыг дүрсэлдэг. Тэр урсгал дээр авсан бичлэг ч гэсэн машин аль хэдийн гаргасан шийдвэрийг харуулдаг.
Ажиллаж буй сессийг хэмжилт биш, онцгой гарц гэж үзээрэй. Үнэ цэнэтэй шалгалт бүр шинэ дүрэм үнэлэх эх сурвалжаас шинэ урсгал нээх ёстой бөгөөд эхний шалгалт нь бүтэлгүйтвэл хамгийн их өвдөх нь байх ёстой. Тэр сесс дотогш орох цорын ганц зам бол өөрчлөлт хийхэд бэлэн болоогүй байна.
Буцах гурван зам, аль нь юунаас хамаарахаар нь эрэмбэлсэн
Сонголтуудыг туршиж буй төхөөрөмжөөс хэр хамаарахаар нь эрэмбэлээрэй, учир нь дүрэм буруу болох нь тогтоогдоход яг тэр эрэмбэд ханддаг. Галт ханыг хэзээ ч давахгүй консол бие даасан, дадлагажсан буцаалт бараг тийм, харин аль хэдийн нээлттэй сесс тийм биш.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Өөрчлөлтийн өмнө консолоор нэвтэрч, ажиллаж байгааг нь нотлоорой, учир нь хэзээ ч ашиглаагүй гадуурх зам нь диаграм, нөөц биш. Буцаалт нь тухайн платформ дээр, тэр дүрмийн багцтай, батлагдсан журам дагаж хийсэн дадлагын дараа л байр сууриа олно, амьд машин дээр сэтгэсэн шийдэл биш. Алхмуудыг бичээд өөр хүнээр чанга уншуул. Хэрэв дараалал дуусахын тулд чиний ой санамж хэрэгтэй бол энэ нь төлөвлөгөө биш.
Нэг өөрчлөлт, дараа нь үнэлэгдэх ёстой холболт
Ажиллаж буй дүрмийн багц болон түүнийг эзэмшдэг файлыг хадгалаад, дараа нь нэг нарийн засвар хий. Нэг туршилтад нэг өөрчлөлт нь үр дүнг хамааруулах боломжтой болгодог; хоёрыг зэрэг хийвэл ажиллаж буй машин үлдэж, аль засвар ажилласныг мэдэхгүй болно. Платформ конфигурацийг ачаалахгүйгээр шинжлэх боломжтой газарт үүнийг эхлээд хий, ингэснээр бичгийн алдаа юу ч эрсдэлд ороогүй үед илрэх болно.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confДараа нь консол холбогдсон хэвээр байх үед өөрчилсөн дүрэмд тохирох эх сурвалжаас шинэ сесс эхлүүл. Амжилттай бол нэг удаа давтаж үз, учир нь эхний оролдлого хүснэгтэд аль хэдийн байсан бичлэг дээр бууж болно. Бүтэлгүйтвэл дотогш орох зам болон буцаах шийдэл хоёр чинь үлдэх бөгөөд энэ нь боломжтой хамгийн хямд муу үр дүн юм.
Тоолуур, төлөв, файл өөр өөр асуултад хариулна
Гурван ажиглалтын аль нь ч ганцаараа итгэлтэй харагдаж, нөгөө хоёрын талаар төөрөгдүүлж болно. Тоолуурууд саяхан үүсгэсэн урсгал засварласан дүрэмд хүрсэн эсэхийг харуулна. Төлөвийн хүснэгт нь машины аль урсгалыг аль хэдийн тогтсон гэж үзэж байгааг харуулдаг бөгөөд ингэснээр эвдэрсэн дүрэм ч эрүүл харагдаж болно. Хадгалсан файл нь төхөөрөмж дараагийн дахин ачааллын дараа юу хийхийг харуулдаг ба энэ нь одоо ажиллаж буй дүрмийн багц хийж байгаа зүйл биш байж болно.
ss -tn state establishedТоолуурыг нийлбэр биш дельта гэж унш, учир нь чухал цорын ганц тоо бол таны туршилтын урсгал хөдөлгөсөн тоо юм. Тоолуур нь хэзээ ч өсдөггүй дүрэм цаасан дээр хичнээн зөв харагдсан ч тохирохгүй. Татгалзсан тохиолдлыг ч баталгаажуул: хэзээ ч юуг ч татгалзаж байгаагүй бодлого нь таны хаахыг хүссэн зүйлийг татгалздагийг хэзээ ч нотолж чадаагүй. Байршуулалт бодитоор авч явдаг гэр бүл бүрд нэг интерфейсээр дамж, учир нь v4 дүрэм v6 урсгалын талаар юу ч хэлдэггүй.
Хадгалсан дүрмийн багцаас сэргээж, дараа нь файлыг тааруул
Өөрчлөлт бүтэлгүйтвэл нэвтрэлт дахин ажиллах хүртэл зөвшөөрөх дүрэм нэмэхийн оронд хадгалсан дүрмийн багцыг ачаал. Нэмэлт зөвшөөрөл бүр шинж тэмдгийг намжааж, хэрэг явдал болон түүний дурсамжаас урт насалдаг нүх үлдээдэг. Сэргээж, дахин холбогдоод, дараа нь бүтэлгүй харьцуулалтыг юу оролдсоноо бүртгэлийн хажууд хадгал.
Амжилттай өөрчлөлтийн дараа диск дээрх файл ажиллаж буй дүрмийн багцыг дүрсэлж, дахин ачаалалт үүнийг хуулбарладаг эсэхийг баталгаажуул. Өөрийн конфигурацийн файлаас холдсон ажиллаж буй дүрмийн багц нь дараагийн дахин эхлүүлэлтэд тавьсан урхи юм.