Il-pakkett tal-firewall installat, ir-regoli spiċċaw wara r-restart

Il-pakkett ġie installat nadif, ir-regoli ġew ittestjati, u wara r-restart li jmiss il-gateway kien miftuħ sew. Xejn fit-tranżazzjoni ma falla; il-falliment kien fil-preżunzjoni ta' x'se jibqa'. L-installazzjoni ta' għodod tal-firewall, id-deċiżjoni liema regoli għandhom jibqgħu u r-ripristinar tagħhom fil-mument it-tajjeb huma tliet xogħlijiet separati.

X'inhu jgħidlek is-sintomu tassew

Sett ta' regoli li jisparixxi mar-restart għandu wieħed minn tliet sidien: xejn ma ssejvjah, xi ħaġa oħra ssostitwietu, jew ġie ripristinat qabel ma kien jeżisti dak li jiddependi minnu. L-ewwel tnejn jidhru fil-konfigurazzjoni; it-tielet jidher biss fl-ordni. Huwa għalhekk li restart jista' jidher bħal telf ta' data meta fil-verità hija problema ta' sekwenza.

Ibda billi tikteb x'kien veru qabel ir-restart: liema servizz kien iżomm ir-regoli, liema fajl jew database qara fil-bidu, u jekk qatt inkitebx f'dik is-sors. Sett ta' regoli attiv li ħadd ma ssejvja huwa spjegazzjoni valida u l-aktar komuni.

Tibdiex billi tinstalla l-pakkett mill-ġdid.

Aqra l-għodda tal-persistenza qabel tużaha

L-għodod tad-Debian jittrattaw il-persistenza bħala problema ta' plugin: kull plugin jaf kif jikteb ir-regoli tiegħu stess, u wrapper wieħed isejħilhom. L-azzjoni tas-sejv tagħha taħżen dak kollu li hu mgħobbi f'dak il-mument, u l-azzjoni tal-bidu tgħabbi dan is-snapshot lura. Xejn fiż-żewġ azzjonijiet ma jirrevedi x'qed jaħżen.

Dak huwa snapshot, mhux reviżjoni. Permess li jkun baqa' minn sessjoni ta' debugging, esperiment mhux komplut jew regola permissiva mdaħħla minn assistent ieħor kollha jsiru permanenti flimkien mal-politika li ridt iżżomm. Li tissejvja stat u li tapprova stat huma attivitajiet differenti, u waħda biss minnhom teħtieġ ġudizzju. Aqra s-sett mgħobbi l-ewwel, imbagħad iddeċiedi liema linji jistħoqqilhom jibqgħu.

Issejvja b'mod deliberat, wara li taqra x'inhu mgħobbi.

Iddeċiedi x'għandu jibqa'

Xi regoli jappartjenu għaċ-ċiklu tal-ħajja ta' interface u għandhom jisparixxu miegħu. Oħrajn iridu jgħixu aktar mit-tunnel, u l-eżempju l-aktar ċar hija restrizzjoni li tipprojbixxi t-traffiku tal-klijenti milli jaqa' lura għall-interface fiżika meta t-tunnel jaqa'. Dawn iż-żewġ kategoriji jeħtieġu triggers ta' ripristinar differenti, mhux snapshot wieħed kondiviż.

Ikteb ir-riżultat maħsub għal tliet mumenti: boot, attivazzjoni tal-VPN u telf tat-tunnel. Imbagħad iċċekkja jekk l-għodda li għażilt tistax tesprimi kull wieħed minnhom. Pakkett tal-persistenza li jerġa' jgħabbi snapshot statiku jittratta l-ewwel u forsi l-ebda wieħed mill-oħrajn, għax snapshot ma jafx meta nbidel l-istat tat-tunnel. Jekk ma jistax jesprimihom, il-vojt jappartjeni għal komponent ieħor.

Il-politika, mhux il-pakkett, tiddetermina t-tweġiba.

Iċċekkja l-ordni tar-ripristinar

Li tirripristina l-fajl mhuwiex l-istess bħal li tippossjedi r-riżultat. Maniġer ieħor jista' jissostitwixxi r-regoli, permess preċedenti jista' jidħol fid-dell tagħhom, jew il-klijenti jistgħu jibdew jibagħtu qabel ma tidħol fis-seħħ ir-restrizzjoni. Irrevedi l-imġiba tal-bidu u tal-konnessjoni mill-ġdid, mhux biss il-preżenza ta' fajl issejvjat.

systemctl status netfilter-persistent
iptables -S

Tassumix li waqfien tas-servizz tal-persistenza huwa bla ħsara, għax il-pakkett jiddokumenta tneħħija kondizzjonali meta jieqaf. Stabbilixxi l-konfigurazzjoni attwali tas-servizz qabel tuża waqfien jew restart bħala esperiment fuq gateway li tamministra mill-bogħod. Sessjoni tal-console u rollback iddokumentat huma l-minimu qabel dak it-test.

L-ordni hija proprjetà tas-sistema li qed taħdem, mhux tal-fajl fuq id-diska.

Aċċetta tliet riżultati separati

Irreġistra l-installazzjoni tal-pakkett, is-sett ta' regoli mgħobbi u l-politika infurzata bħala fatti separati. Isem ta' pakkett fi ħajta ta' appoġġ iwieġeb biss għall-ewwel wieħed, u dak huwa dak li rari jimpurti.

nft list ruleset

Imbagħad ittestja operazzjoni permessa u ċaħda meħtieġa.

Jekk iċ-ċaħda tibqa' wara restart u wara waqgħa tat-tunnel, il-politika tgħix. Jekk tibqa' biss f'wieħed minn dawk l-istati, inti sibt il-problema tal-ordni minflok ma ħallejtha.