ෆයර්වෝල් රීති වෙනස්කම ක්‍රියා නොකරයි: රීති අනුපිළිවෙල සහ සම්බන්ධතා තත්ත්වය
සංස්කරණය කළ රීතියක් පෙර අනුමැතියක පිටුපස සිටිය හැකිය හෝ සම්බන්ධතා ට්‍රැකින් මගින් මඟ හැරිය හැකිය. පරීක්ෂණ දෙක වෙන් කරන්න, නව ගැලීමක් භාවිත කරන්න සහ ආපසු යාමේ මාර්ගයක් තබා ගන්න.
ඔබ රීතිය සංස්කරණය කළා, රීති කට්ටලය නැවත පූරණය කළා, නමුත් උමග හරියටම පෙර මෙන් හැසිරේ. මෙම ප්‍රතිඵලයට පොදු හේතු දෙකක් ඇත, ඒවාට විවිධ පරීක්ෂණ අවශ්‍යයි. එක්කෝ නව රීතිය දැනටමත් පැකට්ටුව පිළිගත් පෙර රීතියකට පසුව පිහිටා ඇත, නැතහොත් ඔබ නිරීක්ෂණය කරන හුවමාරුව වෙනස කිසිදා නැවත ඇගයීමට නොලබන ට්‍රැක් කළ සම්බන්ධතාවකි. ගොනුවක ඇති රීතියක් අභිප්‍රාය ප්‍රකාශ කරයි; පැකට්ටුව තීරණය කරන්නේ එය හමුවන සක්‍රීය මාර්ගයයි. පහත පරීක්ෂණ අනුපිළිවෙලින් කරන්න, එසේ කරන අතරතුර ආපසු යාමේ මාර්ගයක් විවෘතව තබා ගන්න.
රීති අනුපිළිවෙල සහ සම්බන්ධතා තත්ත්වය වෙනස් දෝෂ වේ
අනුපිළිවෙල ඇති දාම ඉහළ සිට පහළට ඇගයේ, අවසාන තීන්දුවකට ළඟා වන පළමු රීතිය එම දාමය හරහා යාම අවසන් කරයි. හොඳින් ලියා ඇති අගුලු දැමීමේ රීතියක් ඉහළින් පුළුල් අනුමැතියක් තබන්න, එවිට අගුලු දැමීමේ රීතිය ලේඛනයක් බවට පත් වේ: එය කට්ටලයේ ඇත, එහි ගණකය ශුන්‍ය වේ, කිසිදු පැකට්ටුවක් කිසිදා එයට ළඟා නොවනු ඇත. එම පෙළම තවත් දාමයකට යෙදීමෙන් ද කිසිවක් ඔප්පු නොවේ. nftables හි මූලික දාම ප්‍රමුඛතා මත කොක්කවලට සම්බන්ධ වේ, එබැවින් එක් දාමයක අනුමැතියක් වෙනත් කොක්කක් හෝ ප්‍රමුඛතාවක් මත ඇති තවත් දාමයකට එම පැකට්ටුවම දැකීම වළක්වන්නේ නැත.
සම්බන්ධතා ට්‍රැකින් දෙවන රෝග ලක්ෂණය නිපදවයි, පිටතින් එය හරියටම එකම ලෙස පෙනේ. ගැලීමක් තත්ත්ව වගුවට පැමිණි පසු, දාමයේ ඉහළට ආසන්න established-or-related අනුමැතිය ඔබේ නව රීතිය සලකා බැලීමටත් පෙර ආපසු පැමිණේ. NAT සිතියම්කරණවලට ද එම ගුණයම ඇත: ගැලීම ආරම්භ වන විට පරිවර්තනය නිශ්චිත විය, එබැවින් සංස්කරණය කළ postrouting රීතියක් දැනටමත් ක්‍රියාත්මක වන සැසියක් නැවත නොලියයි. එබැවින්ම 09:00 ට නව සම්බන්ධතාවකට වෙනස ක්‍රියා කරන බව පෙනේ, 08:55 ට යමෙකු විවෘත කළ සැසියට කිසිවක් නොකරන බව පෙනේ.
ක්ලවුඩ් ආරක්ෂක කණ්ඩායම් iptables මත ඉගෙන ගත් අය අල්ලා ගන්නා තුන්වන ආකෘතියක් එකතු කරයි. ඒවායේ ඇතුළු වීමේ රීති පළමු ගැලපීමේ ගමනක් නොව කට්ටලයක් ලෙස ඇගයෙන අවසර ලැයිස්තුවකි, ඒවා තත්ත්ව සහිතය, අවසර රීතියක් ඉවත් කිරීම දැනටමත් ට්‍රැක් වන ගැලීම් අවසන් නොකරයි. එවැනි අර්ථයක් නොමැති වේදිකාවක එය උපකල්පනය කිරීම විශ්වාසවන්ත නමුත් වැරදි නිගමනවලට තුඩු දෙයි.
සක්‍රීය රීති කට්ටලය කියවන්න, ඔබ සංස්කරණය කළ ගොනුව නොවේ
කර්නලය දැන් ක්‍රියාත්මක කරන දෙයින් ආරම්භ කරන්න. කිසිදා යොදා නොගත් සුරකින ලද වින්‍යාසයක් පුදුම සහගත ලෙස බොහෝ නොවෙනස් හැසිරීම් පැහැදිලි කරයි, එය බැහැර කිරීමට එක් විධානයක් පමණක් ගත වේ:
nft list ruleset
iptables-saveඉන්පසු ඔබේ රීතියට කිසිසේත් ළඟා වේදැයි අසන්න. පැකට් ගණක එයට සෘජුවම පිළිතුරු දෙයි, අභිප්‍රාය පිළිබඳ ඕනෑම තර්කයකට වඩා හොඳින් පිළිතුරු දෙයි:
iptables -L FORWARD -v -n --line-numbers
nft list chain inet filter forwardසැබෑ පරීක්ෂණ උත්සාහයකින් පසු ශුන්‍ය පැකට් සහිත අගුලු දැමීමේ රීතියක් ප්‍රතිපත්ති ගැටලුවක් නොවේ, එය ස්ථාන ගැටලුවකි. එය ගෙන යාම එක් පේළියක වෙනසකි, වාක්‍ය ව්‍යූහය එහෙත් මූලික දෝෂය ඇති කළ දෙයයි. iptables සමඟ -I ආරම්භයේ ඇතුළු කරයි, -A අවසානයේ එකතු කරයි; nftables සමඟ insert රීතිය දාමයේ ආරම්භයේ තබයි, add අවසානයේ එකතු කරයි. රීතියක් ජයගත යුතු නම්, අහම්බෙන් පූරණය වූ අනුපිළිවෙල විශ්වාස කරනවාට වඩා එය පැහැදිලිව කියන්න.
ගැලීම ට්‍රැක් වේදැයි ඔප්පු කරන්න
රීතියට දොස් පැවරීමට පෙර, රථවාහනය කිසිසේත් ට්‍රැක් කළ සම්බන්ධතාවක්දැයි පරීක්ෂා කරන්න. මුළු තත්ත්ව වගුවම වගුරවනවාට වඩා නිශ්චිත ගැලීම ගැන අසන්න:
conntrack -L -p tcp --dport 1194
conntrack -E -p tcp --dport 1194ලැයිස්තුව තත්ත්වය සහ ඉතිරි කාල සීමාව පෙන්වයි, එසේ ඔබ ස්ථාපිත සැසියක් නව උත්සාහයකින් වෙන් කරයි; සිදුවීම් මාදිලිය සිදු වන විටම යාවත්කාලීන මුද්‍රණය කරයි, එය සේවාලාභියෙකු නැවත සම්බන්ධ කරන අතරතුර ප්‍රයෝජනවත් වේ. ඔබ කිසිවක් ස්පර්ශ කිරීමට පෙර ගැලීම ස්ථාපිත තත්ත්වයකින් පවතී නම්, පෙරහන් රීතිවල කිසිදු සංස්කරණයක් එහි ඉරණම වෙනස් නොකරනු ඇත. මෙය ෆයර්වෝලයේ දෝෂයක් නොවේ, මෙය තත්ත්ව සහිත පෙරහන්කරණයේ ගිවිසුමයි.
නිෂ්පාදන ද්වාරයක මුළු වගුවම හිස් කිරීමේ කෙටි මාර්ගයට විරුද්ධ වන්න. conntrack -F ලබා ගත හැකිය, එය යන්ත්‍රයේ සෑම ට්‍රැක් කළ ගැලීමක්ම විනාශ කරයි, ඔබ වැඩ කරන කළමනාකරණ සැසිය සහ ඔබේ ෂෙල් රැගෙන යන උමග ඇතුළුව. ඇත්තටම අවශ්‍ය විට තනි සටහන් මකා දැමිය හැකිය, නමුත් නව මූලාශ්‍ර වරායකින් නව ගැලීමක් සාමාන්‍යයෙන් පිරිසිදු අත්හදා බැලීමකි.
සමහර මාර්ග ට්‍රැක් නොවේ, ඒවා ප්‍රතිවිරුද්ධ ලෙස හැසිරේ. raw වගුවේ notrack ලෙස සලකුණු කළ රථවාහන, සාමාන්‍ය කොක්ක මඟ හරින සමහර උමග, සහ ගැලීමක් ද්වාර දෙකක් අතර බෙදන අසමමිතික මාර්ගකරණය — සියල්ල එකින් එක ඇගයෙන පැකට් හෝ දෙකෙළවරේ කිසිදා නොසෑදෙන තත්ත්වයක් නිපදවයි. සෑම පැකට්ටුවකටම ගණක චලනය වන්නේ නම්, අනුපිළිවෙල සැක කිරීමට පෙර එවැනි මාර්ගයක් සැක කරන්න.
ආපසු යාමේ මාර්ගය සමඟ නව ගැලීමකින් පරීක්ෂා කරන්න
දුරස්ථ ප්‍රවේශය කපා හැරිය හැකි රීතියක් පරීක්ෂා කිරීමට පෙර ප්‍රතිසාධන මාර්ගයක් ස්ථාපිත කරන්න: සැපයුම්කරුගේ කොන්සෝලය, අනුක්‍රමික කොන්සෝලය, තීරුවෙන් පිටත කළමනාකරණ ලිපිනය, හෝ රීතියට ගැලපිය නොහැකි දෙවන අතුරුමුහුණතක්. ආපසු හැරවීමේ කාලකයක් සුදුසු සහකරුවෙකි, මන්ද පරීක්ෂණය මැදදී ඔබේ සැසිය මිය ගියත් එය පෙර රීති කට්ටලය ප්‍රතිසාධනය කරනු ඇත.
ඉන්පසු තත්ත්වය දැනටමත් ආවරණය කළ නොහැකි හුවමාරුවකින් පරීක්ෂා කරන්න. සේවාලාභියා විසන්ධි කර නැවත සම්බන්ධ කරන්න, නව පහක් සෑදෙත්වා, එය සිදු වන අතරතුර දෙකෙළවරම නිරීක්ෂණය කරන්න:
tcpdump -ni eth0 'tcp port 1194'
journalctl -k -n 50 --no-pagerපරීක්ෂණය දිශා දෙකෙන්ම ක්‍රියාත්මක කරන්න. නව ඇතුළු වීමේ අත්සන් කිරීම අවහිර කරන රීතියකට තවමත් පිළිතුරු මාර්ගයට ඉඩ දිය හැකිය, නැතහොත් ඊට ප්‍රතිවිරුද්ධව, ඒක දිශා ප්‍රතිඵලය අගුලු දැමීම අඩක් ක්‍රියා කිරීමට සාමාන්‍ය හේතුවයි. පරීක්ෂණයෙන් පසු ස්ථිර තත්ත්වය තහවුරු කිරීමට තවත් වරක් සම්බන්ධ වන්න, නීත්‍යානුකූල කළමනාකරණ ප්‍රවේශය ඉතිරි වී ඇත්දැයි පරීක්ෂා කරන්න; එක් වරායක් සඳහා ලියූ රීතියකට අභිප්‍රායට වඩා පුළුල් පරාසයකට ගැලපීමේ පුරුද්දක් ඇත.
රීතිය සමඟ අරමුණ සහ ස්ථානය සටහන් කරන්න
සටහන් කළ අරමුණක් නොමැති රීතියක් යනු කිසිවෙකු ඉවත් කිරීමට ධෛර්ය නොදක්වන රීතියකි. සෑම අගුලු දැමීමේ සටහනක් සමඟ එය ආරක්ෂා කරන ගැලීම, එය ජීවත් වන දාමය සහ කොක්ක, පුළුල් අනුමැතීන්ට සාපේක්ෂව එය තබා ගත යුතු ස්ථානය, සහ එය ඔප්පු කළ පරීක්ෂණය තබා ගන්න. මාස හයකට පසු යමෙකු අවට රීති කට්ටලය සංස්කරණය කරන විට, එම සටහන ස්ථානය හිතාමතාම වූ බවට ඇති එකම අනතුරු ඇඟවීම වනු ඇත.
වෙනස වැසීමට පෙර කරුණු හතරක් තහවුරු කරන්න: ක්‍රියාත්මක වන රීති කට්ටලය ගොනුවට ගැලපේ, නව උත්සාහයෙන් පසු නව රීතියට ශුන්‍ය නොවන ගණක ඇත, ප්‍රතිවිරුද්ධ දිශාව සහ කළමනාකරණ ප්‍රවේශය තවමත් ක්‍රියා කරයි, සහ වෙනසට පෙර සැසියක තත්ත්වය නොව ස්ථිර තත්ත්වය ඔප්පු කිරීමට ඔබ එක් වරක් නැවත සම්බන්ධ විය. මේවායින් කිසිවක් තහවුරු කර නොමැති නම්, උමග කුමක් කළත් වෙනස අවසන් නොවේ.