Pakej firewall dipasang, peraturan hilang selepas but semula

Pakej dipasang dengan bersih, peraturan diuji, dan selepas but semula seterusnya get laluan terbuka luas. Tiada apa yang gagal dalam transaksi itu; kegagalan itu terletak pada andaian tentang apa yang akan kekal. Memasang alat firewall, menentukan peraturan mana yang patut bertahan dan memulihkannya pada saat yang betul ialah tiga kerja berasingan.

Apa yang sebenarnya diberitahu oleh simptom

Set peraturan yang hilang semasa but semula mempunyai salah satu daripada tiga pemilik: tiada apa yang menyimpannya, sesuatu yang lain menggantikannya, atau ia dipulihkan sebelum perkara yang ia bergantung kepadanya wujud. Dua yang pertama kelihatan dalam konfigurasi; yang ketiga hanya muncul dalam urutan. Itulah sebabnya but semula boleh kelihatan seperti kehilangan data sedangkan ia sebenarnya masalah urutan.

Mulakan dengan menulis apa yang benar sebelum but semula: perkhidmatan mana yang memegang peraturan, fail atau pangkalan data mana yang dibacanya semasa mula, dan sama ada sumber itu pernah ditulis. Set peraturan hidup yang tidak disimpan oleh sesiapa ialah penjelasan yang sah dan yang paling biasa.

Jangan mulakan dengan memasang semula pakej.

Baca alat kegigihan sebelum menggunakannya

Alat Debian menganggap kegigihan sebagai masalah pemalam: setiap pemalam tahu cara menulis peraturannya sendiri, dan satu pembalut memanggilnya. Tindakan simpannya menyimpan apa sahaja yang dimuatkan pada masa itu, dan tindakan mulanya memuatkan semula syot kilat itu. Tiada apa dalam kedua-dua tindakan menyemak apa yang disimpannya.

Itu syot kilat, bukan semakan. Kebenaran tinggalan daripada sesi nyahpepijat, eksperimen yang belum selesai atau peraturan longgar yang dimasukkan oleh pembantu lain semuanya menjadi kekal di samping dasar yang anda mahu kekalkan. Menyimpan keadaan dan meluluskan keadaan ialah aktiviti berbeza, dan hanya satu daripadanya memerlukan pertimbangan. Baca set yang dimuatkan dahulu, kemudian tentukan baris mana yang layak bertahan.

Simpan dengan sengaja, selepas membaca apa yang dimuatkan.

Tentukan apa yang patut bertahan

Sesetengah peraturan tergolong dalam kitaran hayat antara muka dan patut hilang bersamanya. Yang lain mesti hidup lebih lama daripada terowong, dan contoh paling jelas ialah sekatan yang melarang trafik klien jatuh kembali ke antara muka fizikal apabila terowong tumbang. Kedua-dua kategori itu memerlukan pencetus pemulihan yang berbeza, bukan satu syot kilat yang dikongsi.

Tulis hasil yang dimaksudkan untuk tiga saat: but, pengaktifan VPN dan kehilangan terowong. Kemudian semak sama ada alat yang anda pilih boleh menyatakan setiap satunya. Pakej kegigihan yang memuatkan semula syot kilat statik mengendalikan yang pertama dan mungkin tidak satu pun daripada yang lain, kerana syot kilat tidak tahu bila keadaan terowong berubah. Jika ia tidak dapat menyatakannya, jurang itu milik komponen lain.

Dasar, bukan pakej, yang menentukan jawapannya.

Semak urutan pemulihan

Memulihkan fail tidak sama dengan memiliki hasilnya. Pengurus lain boleh menggantikan peraturan, kebenaran terdahulu boleh menaunginya, atau klien boleh mula menghantar sebelum sekatan berkuat kuasa. Semak tingkah laku semasa mula dan sambung semula, bukan hanya kewujudan fail yang disimpan.

systemctl status netfilter-persistent
iptables -S

Jangan anggap menghentikan perkhidmatan kegigihan itu tidak berbahaya, kerana pakej mendokumenkan pengosongan bersyarat apabila ia berhenti. Tetapkan konfigurasi sebenar perkhidmatan itu sebelum menggunakan henti atau mula semula sebagai eksperimen pada get laluan yang anda urus dari jauh. Sesi konsol dan pengunduran yang didokumenkan ialah minimum sebelum ujian itu.

Urutan ialah sifat sistem yang berjalan, bukan fail pada cakera.

Terima tiga hasil berasingan

Rekodkan pemasangan pakej, set peraturan yang dimuatkan dan dasar yang dikuatkuasakan sebagai fakta berasingan. Nama pakej dalam urutan sokongan hanya menjawab yang pertama, dan itulah yang jarang penting.

nft list ruleset

Kemudian uji operasi yang dibenarkan dan penafian yang diperlukan.

Jika penafian bertahan selepas but semula dan selepas terowong tumbang, dasar itu bertahan. Jika ia bertahan hanya dalam salah satu keadaan itu, anda telah menemui masalah urutan dan bukan membaikinya.