Brannmurpakken installert, reglane borte etter omstarten

Pakken vart installert reint, reglane vart testa, og etter neste omstart var gatewayen vidopen. Ingenting i transaksjonen feila; feilen låg i føresetnaden om kva som ville halde fram. Å installere brannmurverktøy, avgjere kva reglar som skal overleve og gjenopprette dei i rett augneblink er tre separate jobbar.

Kva symptomet eigentleg fortel deg

Eit regelsett som forsvinn ved omstart har ein av tre eigarar: ingenting lagra det, noko anna erstatta det, eller det vart gjenoppretta før det det er avhengig av fanst. Dei to første er synlege i konfigurasjonen; det tredje viser seg berre i rekkjefølgja. Difor kan ein omstart sjå ut som datatap når det eigentleg er eit rekkjefølgjeproblem.

Byrja med å skrive ned kva som var sant før omstarten: kva teneste som heldt reglane, kva fil eller database ho las ved oppstart, og om den kjelda nokon gong var skriven til. Eit aktivt regelsett som ingen lagra, er ei gyldig forklaring og den vanlegaste.

Ikkje byrja med å installere pakken på nytt.

Les uthaldningsverktøyet før du brukar det

Debian-verktøya handsamar uthald som eit plugin-problem: kvar plugin veit korleis han skriv sine eigne reglar, og éin innpakning kallar på dei. Lagre-handlinga lagrar alt som er lasta inn i det augneblinken, og start-handlinga lastar det augeblinksbiletet tilbake. Ingenting i nokon av handlingane går gjennom kva som blir lagra.

Det er eit augeblinksbilete, ikkje ein gjennomgang. Ei attverande løyve frå ein feilsøkingsøkt, eit halvferdig eksperiment eller ein ettergjevande regel som eit anna hjelpemiddel sette inn, blir alle permanente ved sida av policyen du ville behalde. Å lagre tilstand og å godkjenne tilstand er ulike aktivitetar, og berre éin av dei krev skjøn. Les det innlasta settet først, og avgjer deretter kva linjer som fortener å overleve.

Lagre med vilje, etter å ha lese kva som er lasta inn.

Avgjer kva som skal overleve

Nokre reglar høyrer til livssyklusen til eit grensesnitt og bør forsvinne med det. Andre må overleve tunnelen, og det klåraste dømet er ei avgrensing som forbyd klienttrafikk å falle tilbake til det fysiske grensesnittet når tunnelen fell. Dei to kategoriane treng ulike gjenopprettingsutløysarar, ikkje eitt felles augeblinksbilete.

Skriv det tiltenkte resultatet for tre augneblink: oppstart, VPN-aktivering og tunneltap. Kontroller deretter om verktøyet du valde kan uttrykkje kvart av dei. Ein uthaldspakke som lastar inn eit statisk augeblinksbilete på nytt, handterer det første og kanskje ingen av dei andre, fordi eit augeblinksbilete ikkje anar når tilstanden til tunnelen endra seg. Viss ho ikkje kan uttrykkje dei, høyrer gapet til ein annan komponent.

Policyen, ikkje pakken, avgjer svaret.

Kontroller gjenopprettingsrekkjefølgja

Å gjenopprette fila er ikkje det same som å eige resultatet. Ein annan behandlar kan erstatte reglane, eit tidlegare løyve kan skyggje for dei, eller klientar kan byrja å sende før avgrensinga trer i kraft. Gå gjennom oppstarts- og gjenoppkoplingsåtferd, ikkje berre tilstadeveringa av ei lagra fil.

systemctl status netfilter-persistent
iptables -S

Ikkje gå ut frå at det er ufarleg å stoppe uthaldstenesta, fordi pakken dokumenterer ein vilkårleg tømming når ho stoppar. Fastslå den faktiske konfigurasjonen til tenesta før du brukar stopp eller omstart som eksperiment på ein gateway du administrerer eksternt. Ei konsolløkt og ei dokumentert tilbakerulling er minimum før den testen.

Rekkjefølgje er ein eigenskap ved det køyrande systemet, ikkje ved fila på disken.

Godta tre separate resultat

Registrer pakkeinstallasjonen, det innlasta regelsettet og policyen som blir handheva som separate fakta. Eit pakkenamn i ein støttetråd svarar berre på det første, og det er det som sjeldan betyr noko.

nft list ruleset

Test deretter ein tillaten operasjon og ei påkravd avvising.

Viss avvisinga held etter ein omstart og etter eit tunneltap, overlever policyen. Viss ho berre held i éin av desse tilstandane, har du funne rekkjefølgjeproblemet i staden for å rette det.