स्वतःला बाहेर कुलूप न लावता फायरवॉल बदलांची चाचणी करणे

नियम लागू होतो, तुमच्याकडे आधीच असलेले टर्मिनल उत्तर देत राहते, आणि पुढील लॉगिन नाकारले जाते। तुम्ही बदलत असलेल्या कनेक्शनवरून फायरवॉल बदलाची चाचणी करण्याची सगळी अडचण हीच फरक आहे। कनेक्शन ट्रॅकिंग एकदा निर्णय घेते आणि मग पाहणे थांबवते, म्हणून स्थापित प्रवाह ही एकमेव तपासणी आहे जी नवीन धोरण पाहू शकत नाही। पुढे परतण्याच्या तीन मार्गांची तुलना केली जाते, आणि नंतर नियम कोणत्या क्रमाने बदलायचे व तपासायचे हे ठरवले जाते।

टिकून राहिलेले सत्र सर्वात कमजोर पुरावा का आहे

स्थिती असलेला फायरवॉल प्रवाहातील पहिल्या पॅकेटचे मूल्यमापन करतो आणि नोंद जिवंत असेपर्यंत तो निर्णय ठेवतो। नंतर जोडलेले नियम नंतर सुरू होणाऱ्या प्रवाहांना लागू होतात, म्हणून तुम्ही टाइप करत असलेली विंडो वापरण्यायोग्य राहते, तर बाकी सर्वांना नाकारले जाते। त्यातून तुम्ही जे शिकता ते काही मिनिटांपूर्वीच्या धोरणाचे वर्णन करते। त्या प्रवाहावर घेतलेले कॅप्चरही मशीनने आधीच घेतलेला निर्णय दाखवते।

कार्यरत सत्राला मोजमाप नव्हे, तर आपत्कालीन निर्गम माना। प्रत्येक अर्थपूर्ण तपासणीने नवीन नियम मूल्यमापन करेल अशा स्रोतातून नवीन प्रवाह उघडला पाहिजे, आणि पहिली तपासणी तीच असावी जिचे अपयश सर्वात जास्त जाणवेल। जेव्हा तेच सत्र आत जाण्याचा एकमेव मार्ग असेल, तेव्हा बदल करायला तयार नाही।

परतण्याचे तीन मार्ग, प्रत्येक कशावर अवलंबून आहे त्यानुसार क्रमवार

पर्यायांची क्रमवारी ते चाचणीत असलेल्या उपकरणावर किती अवलंबून आहेत यावर ठेवा, कारण नियम चुकीचा निघाल्यावर तुम्ही त्याच क्रमाला धरता। जे कन्सोल कधीही फायरवॉलमधून जात नाही ते स्वतंत्र आहे, सराव केलेली रोलबॅक जवळपास तसेच आहे, आणि आधीच उघडे असलेले सत्र तसे नाही।

बदलापूर्वी कन्सोलने लॉगिन करा आणि ते कार्यरत असल्याचे सिद्ध करा, कारण कधीही न वापरलेला आउट-ऑफ-बँड मार्ग म्हणजे आकृती, पर्याय नव्हे। रोलबॅकला त्याचे स्थान त्या प्लॅटफॉर्मवर, त्या नियमसंचासह, मंजूर प्रक्रियेचे पालन करून केलेल्या सरावानंतरच मिळते, जिवंत मशीनवर तात्काळ उपाय करण्याऐवजी। पायऱ्या लिहून ठेवा आणि दुसऱ्याला त्या वाचून दाखवायला सांगा। जर क्रम पूर्ण करण्यासाठी तुमची स्मरणशक्ती लागत असेल, तर तो आराखडा नाही।

एक बदल, नंतर मूल्यमापन करावे लागणारे कनेक्शन

चालू नियमसंच आणि त्याचा मालक असलेली फाइल जतन करा, नंतर एकच अरुंद संपादन करा। प्रति चाचणी एक बदल परिणाम जवाबदार ठेवतो; एकाच वेळी दोन केल्यास कार्यरत मशीन आणि कोणत्या संपादनाने काम केले याची कल्पनाही उरत नाही। जिथे प्लॅटफॉर्म कॉन्फिगरेशन न लोड करता त्याचे विश्लेषण करू शकतो, तिथे ते आधी करा, जेणेकरून टायपिंगची चूक काहीही धोक्यात नसताना पकडली जाईल।

nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.conf

नंतर कन्सोल अजून जोडलेले असताना, बदललेल्या नियमाशी जुळणाऱ्या स्रोतातून नवीन सत्र सुरू करा। यशस्वी झाल्यास एकदा पुन्हा करा, कारण पहिला प्रयत्न टेबलमध्ये आधीच असलेल्या नोंदीवर पडू शकतो। अयशस्वी झाल्यास आत जाण्याचा मार्ग आणि मागे घ्यायचा निर्णय दोन्ही शिल्लक राहतात, आणि तोच उपलब्ध सर्वात स्वस्त वाईट परिणाम आहे।

काउंटर, स्थिती आणि फाइल वेगवेगळ्या प्रश्नांची उत्तरे देतात

तीन निरीक्षणांपैकी प्रत्येक एकटे खात्रीलायक वाटू शकते आणि उरलेल्या दोनांबद्दल तुमची भंती करू शकते। काउंटर दाखवतात की नुकतेच तयार केलेला प्रवाह तुम्ही संपादित केलेल्या नियमापर्यंत पोहोचला का। स्थिती तक्ता दाखवतो की मशीन कोणत्या प्रवाहांना आधीच स्थापित मानते, आणि अशा रीतीने तुटलेला नियमही निरोगी दिसू शकतो। जतन केलेली फाइल दाखवते की पुढील रीलोडनंतर उपकरण काय करेल, आणि ते आता चालू असलेला नियमसंच करत असलेल्या गोष्टीपेक्षा वेगळे असू शकते।

ss -tn state established

काउंटर एकूण नव्हे, तर फरक म्हणून वाचा, कारण महत्त्वाची एकमेव संख्या तुमच्या चाचणी प्रवाहाने हलवलेली आहे। ज्या नियमाचा काउंटर कधीही वाढत नाही तो जुळत नाही, कागदावर कितीही बरोबर दिसला तरी। नाकारण्याच्या प्रकरणाचीही खात्री करा: कधीही काहीही नाकारलेल्या धोरणाने तुम्ही अडवू इच्छित असलेले नाकारते असे कधीही सिद्ध केले नाही। ज्या कुटुंबांचे तैनाती प्रत्यक्षात वहन करते त्या प्रत्येकात एक इंटरफेसने जा, कारण v4 नियम v6 प्रवाहाबद्दल काहीही सांगत नाही।

जतन केलेल्या नियमसंचातून पुनर्संचयित करा, नंतर फाइल जुळवा

बदल अयशस्वी झाल्यास, लॉगिन पुन्हा कार्यरत होईपर्यंत परवानगी देणारे नियम जोडण्याऐवजी जतन केलेला नियमसंच लोड करा। प्रत्येक अतिरिक्त परवानगी लक्षण शांत करते आणि घटनेपेक्षा व तिच्या स्मरणापेक्षा जास्त काळ टिकणारे भोक सोडते। पुनर्संचयित करा, पुन्हा जोडा, आणि नंतर अयशस्वी तुलना तुम्ही काय प्रयत्न केले याच्या नोंदीजवळ ठेवा।

यशस्वी बदलानंतर, डिस्कवरील फाइल चालू नियमसंचाचे वर्णन करेल असे करा, आणि रीलोड तो पुनरुत्पादित करतो याची खात्री करा। स्वतःच्या कॉन्फिगरेशन फाइलपासून दूर गेलेला जिवंत नियमसंच पुढील रीबूटसाठी घातलेला सापळा आहे।