Bidla fir-regola tal-firewall ma taħdimx: l-ordni tar-regoli u l-istat tal-konnessjoni

Inti editjajt ir-regola, erġajt tajt il-ġabra tar-regoli, u l-mina ġġib ruħha eżattament kif kienet qabel. Dan ir-riżultat għandu żewġ kawżi komuni, u jeħtieġu testijiet differenti. Jew ir-regola l-ġdida tinsab wara regola preċedenti li diġà aċċettat il-pakkett, jew l-iskambju li qed tara huwa konnessjoni traċċata li l-bidla qatt ma terġa' tevalwaha. Regola f'fajl tesprimi intenzjoni; dak li jiddeċiedi l-pakkett huwa t-triq attiva li tiltaqa' magħha. Mexxi l-verifiki hawn taħt fl-ordni, u żomm triq lura waqt li tagħmel dan.

L-ordni tar-regoli u l-istat tal-konnessjoni huma ħsarat differenti

Il-ktajjen ordnati jiġu evalwati minn fuq għal isfel, u l-ewwel regola li tasal għal verdett finali ttemm il-mixja f'dak il-ktajjen. Poġġi awtorizzazzjoni wiesgħa fuq regola ta' ssikkar miktuba b'attenzjoni, u r-regola ta' ssikkar issir dokumentazzjoni: tinsab fil-ġabra tar-regoli, il-kontatur tagħha huwa żero, u l-ebda pakkett qatt mhu se jasal għaliha. L-istess test applikat għal ktajjen ieħor lanqas ma jipprova xejn. F'nftables il-ktajjen bażi jitwaħħlu mal-hooks bi prijoritajiet, għalhekk awtorizzazzjoni f'ktajjen wieħed ma tipprevjenix ktajjen ieħor fuq hook jew prijorità differenti milli jara l-istess pakkett.

It-traċċar tal-konnessjonijiet jipproduċi t-tieni sintomu, u minn barra jidher identiku. Ladarba fluss ikun fit-tabella tal-istati, awtorizzazzjoni għal established-or-related qrib il-quċċata tal-ktajjen terġa' lura qabel ma r-regola l-ġdida tiegħek tiġi kkonsultata. L-immappjar NAT għandu l-istess proprjetà: it-traduzzjoni kienet iffissata meta beda l-fluss, għalhekk regola postrouting editjata ma terġax tikteb sessjoni li diġà għaddejja. Huwa għalhekk li bidla tidher taħdem fid-09:00 għal konnessjoni ġdida u tidher li ma tagħmel xejn għas-sessjoni li xi ħadd fetaħ fid-08:55.

Il-gruppi tas-sigurtà tal-cloud iżidu t-tielet mudell li jaqbad lil min tgħallem fuq iptables. Ir-regoli tad-dħul tagħhom huma lista ta' awtorizzazzjonijiet evalwata bħala sett u mhux bħala mixja tal-ewwel qbil, huma stateful, u t-tneħħija ta' regola ta' awtorizzazzjoni ma ttemmx flussi li diġà qed jiġu traċċati. Li tassumi semantika tal-ewwel qbil fuq pjattaforma li m'għandhiex tagħmel hekk twassal għal konklużjonijiet kunfidenti u żbaljati.

Aqra l-ġabra tar-regoli attiva, mhux il-fajl li editjajt

Ibda b'dak li l-kernel qed jinfurza bħalissa. Konfigurazzjoni salvata li qatt ma ġiet applikata tispjega numru sorprendenti ta' imġibiet li ma nbidlux, u li teskludiha tiswa kmand wieħed:

nft list ruleset
iptables-save

Imbagħad staqsi jekk ir-regola tiegħek tintlaħaqx. Il-kontaturi tal-pakketti jwieġbu dan direttament, u jwiegħbu aħjar minn kwalunkwe raġunament dwar l-intenzjoni:

iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forward

Regola ta' ssikkar bi żero pakketti wara prova ta' test reali mhijiex problema ta' politika, hija problema ta' pożizzjoni. Li tmexxiha huwa bidla ta' linja waħda, u s-sintassi hija eżattament dak li kkawża l-bug oriġinali. Bl-iptables, -I iddaħħal u -A iżżid fl-aħħar; bin-nftables, insert tqiegħed regola fil-bidu tal-ktajjen filwaqt li add iżżid fl-aħħar. Meta regola trid tirbaħ, għidha b'mod espliċitu minflok ma tafda fl-ordni li ġie mgħobbi b'kumbinazzjoni.

Ipprova jekk il-fluss huwiex traċċat

Qabel ma tagħti t-tort lir-regola, iċċekkja jekk it-traffiku huwiex konnessjoni traċċata xejn. Staqsi lit-tabella tal-istati dwar il-fluss speċifiku minflok ma tferrgħa kollha:

conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194

Il-lista turi l-istat u l-ħin li jifdal, u hekk tiddistingwi sessjoni stabbilita minn prova ġdida; il-mod tal-avvenimenti jistampa aġġornamenti hekk kif isiru, li huwa utli waqt li terġa' tgħaqqad klijent. Jekk il-fluss ikun preżenti fi stat stabbilit qabel ma messejt xejn, l-ebda editjar tar-regoli tal-filtru mhu se jbiddel id-destin tiegħu. Dan mhuwiex bug fil-firewall, dan huwa l-kuntratt tal-filtrazzjoni bl-istat.

Irreżisti t-triq il-qasira li tferra t-tabella kollha fuq gateway tal-produzzjoni. conntrack -F hija disponibbli, u qerdu wkoll kull fluss traċċat fuq il-magna, inkluża s-sessjoni tal-ġestjoni li qed taħdem minnha u l-mina li ġġorr il-shell tiegħek. Entrati individwali jistgħu jitħassru meta tassew għandek bżonnhom, imma fluss ġdid minn port sors ġdid normalment huwa esperiment aktar nadif.

Xi mogħdijiet mhumiex traċċati, u jġibu ruħhom bil-maqlub. Traffiku mmarkat notrack fit-tabella raw, xi mini li jgħaddu mal-ħjut normali, u routing asimmetriku li jqassam fluss bejn żewġ gateways kollha jipproduċu pakketti evalwati wieħed wieħed, jew stat li qatt ma jinħoloq fiż-żewġ trufijiet. Jekk il-kontaturi jiċċaqalqu għal kull pakkett, issuspetta mogħdija bħal din qabel ma tissuspetta l-ordni.

Ittestja minn fluss ġdid bi triq lura

Qabel ma ttestja regola li tista' taqta' aċċess mill-bogħod, stabbilixxi triq ta' rkupru: il-console tal-fornitur, console serjali, indirizz tal-ġestjoni barra l-banda, jew it-tieni interface li r-regola ma tistax taqbel miegħu. Timer tar-rollback huwa sieħeb raġonevoli, għax se jġib lura l-ġabra tar-regoli preċedenti anki jekk is-sessjoni tiegħek tmut f'nofs it-test.

Imbagħad ittestja bi skambju li l-istat ma setax diġà jkopri. Skonnettja u erġa' għaqqad il-klijent biex jinħoloq ħames tuple ġdid, u osserva ż-żewġ trufijiet waqt li jiġri dan:

tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pager

Mexxi t-test fiż-żewġ direzzjonijiet. Regola li timblokka l-handshake tad-dħul il-ġdid xorta tista' tippermetti t-triq tar-risposta, jew bil-maqlub, u riżultat f'direzzjoni waħda huwa r-raġuni tas-soltu għaliex ssikkar jitħaddem nofsu. Erġa' għaqqad darba wara t-test biex tikkonferma l-istat stabbli, u ċċekkja jekk l-aċċess tal-ġestjoni leġittimu baqax ħaj; regola miktuba għal port wieħed għandha l-vizzju li taqbel ma' firxa usa milli maħsub.

Irreġistra l-iskop u l-pożizzjoni mar-regola

Regola mingħajr skop irreġistrat hija regola li ħadd ma jissogra jneħħi. Ħdejn kull entrata ta' ssikkar, żomm il-fluss li tipproteġi, il-ktajjen u l-hook li fih tgħix, il-pożizzjoni li trid iżżomm fir-rigward ta' awtorizzazzjonijiet usa, u t-test li wera dan. Meta xi ħadd jeditja l-ġabra tar-regoli tal-madwar sitt xhur wara, dik in-nota hija l-uniku twissija li l-pożizzjoni kienet intenzjonata.

Qabel ma tagħlaq il-bidla, ikkonferma erba' affarijiet: il-ġabra tar-regoli li qed taħdem taqbel mal-fajl, ir-regola l-ġdida għandha kontaturi li mhumiex żero wara prova ġdida, id-direzzjoni bil-maqlub u l-aċċess tal-ġestjoni għadhom jaħdmu, u erġajt għaqqadt darba biex tipprova l-istat stabbli u mhux l-istat ta' sessjoni eqdem mill-bidla. Jekk xi ħaġa minn dawn mhijiex verifikata, il-bidla mhijiex lesta, tkun xi tkun qed tagħmel il-mina.