Preizkušanje sprememb požarnega zidu, ne da bi se zaklenili zunaj

Pravilo vstopi, terminal, ki ga že imate, še naprej odgovarja, naslednja prijava pa je zavrnjena. Prav ta vrzel je vsa težavnost preizkušanja spremembe požarnega zidu prek povezave, ki jo spreminjate. Sledenje povezavam odloči enkrat in nato preneha gledati, zato je vzpostavljen tok edini preizkus, ki ne more videti nove politike. V nadaljevanju so primerjane tri poti nazaj, nato pa je določen vrstni red spreminjanja in preverjanja pravil.

Zakaj je preživela seja najšibkejši dokaz

Požarni zid s stanjem ovrednoti prvi paket toka in to sodbo obdrži, dokler vnos živi. Pravila, dodana pozneje, veljajo za tokove, ki se začnejo pozneje, zato okno, v katero tipkate, ostane uporabno, medtem ko so vsi drugi zavrnjeni. Kar se iz njega naučite, opisuje politiko, ki je veljala pred nekaj minutami. Celo posnetek, vzet na tem toku, kaže odločitev, ki jo je stroj že sprejel.

Delujočo sejo obravnavajte kot zasilni izhod in ne kot meritev. Vsako preverjanje, ki je vredno truda, mora odpreti nov tok z vira, ki ga bo novo pravilo ovrednotilo, prvo preverjanje pa naj bo tisto, katerega neuspeh bi najbolj bolel. Ko je ta seja edina pot noter, sprememba še ni pripravljena.

Tri poti nazaj, razvrščene po tem, od česa je odvisna vsaka

Razvrstite možnosti po tem, koliko so odvisne od preizkušane naprave, ker po tej razvrstitvi posežete, ko se pravilo izkaže za napačno. Konzola, ki nikoli ne gre skozi požarni zid, je neodvisna, preizkušena vrnitev skorajda, že odprta seja pa ne.

Pred spremembo se prijavite prek konzole in dokažite, da deluje, ker je zunajpasovna pot, ki je nikoli niste uporabili, diagram in ne rezerva. Vrnitev si svoje mesto zasluži šele po vaji na tej platformi, s tem naborom pravil, po odobrenem postopku namesto improvizacije na živi napravi. Zapišite korake in prosite nekoga drugega, da jih prebere nazaj. Če zaporedje za dokončanje potrebuje vaš spomin, to ni načrt.

Ena sprememba, nato povezava, ki jo je treba ovrednotiti

Shranite delujoč nabor pravil in datoteko, ki ga ima v lasti, nato opravite eno ozko urejanje. Ena sprememba na preizkus ohranja rezultat pripisujoč; dve hkrati vas pustita z delujočim strojem in brez pojma, katero urejanje je opravilo delo. Kjer platforma zmore analizirati konfiguracijo, ne da bi jo naložila, storite to najprej, da tipkarska napaka spodleti, ko nič ni na kocki.

nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.conf

Nato zaženite novo sejo z vira, ki se bo ujemal s spremenjenim pravilom, medtem ko je konzola še priključena. Ponovite enkrat, če uspe, ker prvi poskus lahko pristane na vnosu, ki ga je tabela že imela. Če spodleti, imate še vedno pot noter in odločitev za preklic, to pa je najcenejši slab izid, ki je na voljo.

Števci, stanje in datoteka odgovarjajo na različna vprašanja

Vsako od treh opazovanj je lahko samo po sebi prepričljivo in vas o drugih dveh zavede. Števci kažejo, ali je pravkar ustvarjeni tok dosegel pravilo, ki ste ga uredili. Tabela stanj kaže, katere tokove stroj že šteje za vzpostavljene, in tako je lahko pokvarjeno pravilo še vedno videti zdravo. Shranjena datoteka kaže, kaj bo naprava storila po naslednjem ponovnem nalaganju, in to morda ni tisto, kar počne trenutni nabor pravil zdaj.

ss -tn state established

Števce berite kot razliko in ne kot vsoto, ker je edino pomembno število tisto, ki ga je premaknil vaš preizkusni tok. Pravilo, katerega števec nikoli ne naraste, se ne ujema, ne glede na to, kako pravilno je videti na papirju. Potrdite tudi primer zavrnitve: politika, ki ni nikoli ničesar zavrnila, ni nikoli dokazala, da zavrača tisto, kar ste hoteli blokirati. Pojdite skozi en vmesnik v vsaki družini, ki jo uvedba resnično nosi, ker pravilo v4 ne pove ničesar o toku v6.

Obnovite iz shranjenega nabora pravil in nato uskladite datoteko

Ko sprememba spodleti, naložite shranjeni nabor pravil, namesto da dodajate dovoljujoča pravila, dokler prijave spet ne delujejo. Vsako dodatno dovoljenje pomiri simptom in pusti luknjo, ki preživi incident in spomin nanj. Obnovite, znova se povežite in nato obdržite neuspešno primerjavo ob zapisu tega, kar ste poskusili.

Po uspešni spremembi naj datoteka na disku opisuje delujoč nabor pravil, in potrdite, da ga ponovno nalaganje reproducira. Delujoč nabor pravil, ki se je odmaknil od lastne konfiguracijske datoteke, je past, nastavljena za naslednji zagon.