Balík firewallu sa nainštaloval, pravidlá po reštarte zmizli

Balík sa nainštaloval čisto, pravidlá boli otestované a po ďalšom reštarte bola brána úplne otvorená. V transakcii nič nezlyhalo; zlyhalo to, čo sa považovalo za trvalé. Inštalácia nástrojov firewallu, rozhodnutie, ktoré pravidlá majú prežiť, a ich obnova v správnom okamihu sú tri oddelené úlohy.

Čo vám príznak vlastne hovorí

Sada pravidiel, ktorá po reštarte zmizne, má jedného z troch pôvodcov: nikto ju neuložil, niečo iné ju nahradilo, alebo bola obnovená skôr, než existovalo to, na čom závisí. Prví dvaja sú viditeľní v konfigurácii; tretí sa prejaví iba v poradí. Preto môže reštart vyzerať ako strata údajov, hoci ide o problém postupnosti.

Začnite tým, že si zapíšete, čo platilo pred reštartom: ktorá služba držala pravidlá, ktorý súbor alebo databázu načítala pri štarte a či bol tento zdroj niekedy zapísaný. Živá sada pravidiel, ktorú nikto neuložil, je platné vysvetlenie a zároveň to najčastejšie.

Nezačínajte preinštalovaním balíka.

Prečítajte si nástroj pre trvalosť skôr, než ho použijete

Nástroje Debianu chápu trvalosť ako problém pluginov: každý plugin vie zapísať svoje vlastné pravidlá a jeden obal ich volá. Jeho akcia uloženia zapíše všetko, čo je v danom okamihu načítané, a akcia štartu tento snímok zase načíta. Ani jedna z týchto akcií nekontroluje, čo ukladá.

To je snímok, nie kontrola. Zabudnuté povolenie z ladiacej relácie, nedokončený experiment alebo benevolentné pravidlo, ktoré vložil iný pomocník, sa natrvalo stanú súčasťou politiky, ktorú ste chceli zachovať. Uloženie stavu a schválenie stavu sú rozdielne činnosti a len jedna z nich vyžaduje úsudok. Najprv si prečítajte načítanú sadu a potom rozhodnite, ktoré riadky si zaslúžia prežiť.

Ukladajte vedome, až po prečítaní toho, čo je načítané.

Rozhodnite, čo má prežiť

Niektoré pravidlá patria k životnému cyklu rozhrania a mali by s ním aj zmiznúť. Iné musia prežiť tunel a najjasnejším príkladom je obmedzenie, ktoré zakazuje, aby premávka klientov prešla späť na fyzické rozhranie, keď tunel spadne. Tieto dve kategórie potrebujú rozdielne spúšťače obnovy, nie jeden spoločný snímok.

Napíšte zamýšľaný výsledok pre tri okamihy: štart, aktiváciu VPN a stratu tunela. Potom overte, či nástroj, ktorý ste si vybrali, dokáže vyjadriť každý z nich. Balík pre trvalosť, ktorý znovu načíta statický snímok, zvládne prvý a možno nezvládne ani jeden z ostatných, pretože snímok netuší, kedy sa stav tunela zmenil. Ak ich vyjadriť nedokáže, medzera patrí inej komponente.

Odpoveď určuje politika, nie balík.

Skontrolujte poradie obnovy

Obnoviť súbor nie je to isté ako vlastniť výsledok. Iný správca môže pravidlá nahradiť, skorší accept ich môže zatieniť alebo klienti môžu začať odosielať skôr, než obmedzenie nadobudne účinnosť. Preverte správanie pri štarte a pri opätovnom pripojení, nielen prítomnosť uloženého súboru.

systemctl status netfilter-persistent
iptables -S

Nepredpokladajte, že zastavenie služby pre trvalosť je neškodné, pretože balík dokumentuje podmienené vyprázdnenie pri zastavení. Predtým, než na bráne, ktorú spravujete na diaľku, použijete stop alebo restart ako experiment, zistite skutočnú konfiguráciu služby. Konzolová relácia a zdokumentovaný návrat sú pred týmto testom minimum.

Poradie je vlastnosťou bežiaceho systému, nie súboru na disku.

Prijmite tri oddelené výsledky

Zaznamenajte inštaláciu balíka, načítanú sadu pravidiel a presadzovanú politiku ako oddelené skutočnosti. Názov balíka v diskusii o podpore odpovedá len na prvú z nich a práve tá málokedy rozhoduje.

nft list ruleset

Potom otestujte povolenú operáciu a požadované zamietnutie.

Ak zamietnutie vydrží po reštarte a po páde tunela, politika prežila. Ak vydrží len v jednom z týchto stavov, našli ste problém poradia, a nie ho opravili.