Pacote de firewall instalado, regras sumiram após a reinicialização

O pacote instalou-se sem problemas, as regras foram testadas e, após a reinicialização seguinte, o gateway estava completamente aberto. Nada na transação falhou; a falha estava no que se assumiu que persistiria. Instalar ferramentas de firewall, decidir que regras devem sobreviver e restaurá-las no momento certo são três tarefas distintas.

O que o sintoma realmente lhe diz

Um conjunto de regras que desaparece na reinicialização tem um de três donos: nada o guardou, outra coisa o substituiu ou ele foi restaurado antes de existir aquilo de que depende. Os dois primeiros são visíveis na configuração; o terceiro só aparece na ordem. É por isso que uma reinicialização pode parecer perda de dados quando na verdade é um problema de sequência.

Comece por escrever o que era verdade antes da reinicialização: que serviço detinha as regras, que ficheiro ou base de dados lia no arranque e se essa fonte alguma vez foi escrita. Um conjunto de regras ativo que ninguém guardou é uma explicação válida e a mais comum.

Não comece por reinstalar o pacote.

Leia a ferramenta de persistência antes de usá-la

As ferramentas Debian tratam a persistência como um problema de plugins: cada plugin sabe escrever as suas próprias regras e um invólucro chama-os. A sua ação de guardar armazena tudo o que está carregado nesse momento, e a sua ação de arranque volta a carregar esse instantâneo. Nada em qualquer das ações revê o que está a armazenar.

Isso é um instantâneo, não uma revisão. Uma permissão sobrante de uma sessão de depuração, uma experiência a meio ou uma regra permissiva inserida por outro auxiliar tornam-se todas permanentes ao lado da política que queria manter. Guardar estado e aprovar estado são atividades diferentes, e só uma exige discernimento. Leia primeiro o conjunto carregado e depois decida que linhas merecem sobreviver.

Guarde deliberadamente, depois de ler o que está carregado.

Decida o que deve sobreviver

Algumas regras pertencem ao ciclo de vida de uma interface e devem desaparecer com ela. Outras têm de sobreviver ao túnel, e o exemplo mais claro é uma restrição que proíbe o tráfego dos clientes de recuar para a interface física quando o túnel cai. Essas duas categorias precisam de gatilhos de restauração diferentes, não de um instantâneo partilhado.

Escreva o resultado pretendido para três momentos: arranque, ativação da VPN e perda do túnel. Depois verifique se a ferramenta escolhida consegue exprimir cada um. Um pacote de persistência que recarrega um instantâneo estático cobre o primeiro e talvez nenhum dos outros, porque um instantâneo não faz ideia de quando o estado do túnel mudou. Se não conseguir exprimi-los, a lacuna pertence a outro componente.

A política, não o pacote, decide a resposta.

Verifique a ordem de restauração

Restaurar o ficheiro não é o mesmo que possuir o resultado. Outro gestor pode substituir as regras, uma permissão anterior pode sombreá-las ou os clientes podem começar a enviar antes de a restrição entrar em vigor. Reveja o comportamento de arranque e de reconexão, não apenas a presença de um ficheiro guardado.

systemctl status netfilter-persistent
iptables -S

Não assuma que parar o serviço de persistência é inofensivo, porque o pacote documenta um esvaziamento condicional ao parar. Estabeleça a configuração real do serviço antes de usar parar ou reiniciar como experiência num gateway que administra remotamente. Uma sessão de consola e um retrocesso documentado são o mínimo antes desse teste.

A ordem é uma propriedade do sistema em funcionamento, não do ficheiro no disco.

Aceite três resultados distintos

Registe a instalação do pacote, o conjunto de regras carregado e a política aplicada como factos separados. Um nome de pacote num tópico de suporte responde apenas ao primeiro, e é o que raramente importa.

nft list ruleset

Depois teste uma operação permitida e uma negação obrigatória.

Se a negação se mantiver após uma reinicialização e após a queda do túnel, a política sobrevive. Se só se mantiver num desses estados, encontrou o problema de ordem em vez de o corrigir.