Paketa e firewall-it u instalua, rregullat humbën pas rinisjes

Paketa u instalua pa problem, rregullat u testuan dhe pas rinisjes së radhës porta ishte plotësisht e hapur. Asgjë në transaksion nuk dështoi; dështoi ajo që u supozua se do të vazhdonte. Instalimi i mjeteve të firewall-it, vendimi se cilat rregulla duhet të mbijetojnë dhe rikthimi i tyre në momentin e duhur janë tri punë të ndara.

Çfarë ju thotë në të vërtetë simptoma

Një grup rregullash që zhduket pas rinisjes ka një nga tre pronarë: askush nuk e ruajti, diçka tjetër e zëvendësoi, ose u rikthye para se të ekzistonte ajo nga e cila varet. Dy të parët duken në konfigurim; i treti shfaqet vetëm në renditje. Kjo është arsyeja pse rinisja mund të duket si humbje e të dhënave, ndërsa në të vërtetë është problem sekuence.

Filloni duke shkruar atë që ishte e vërtetë para rinisjes: cili shërbim i mbante rregullat, cilin skedar ose bazë të dhënash lexonte në nisje dhe nëse ai burim ishte shkruar ndonjëherë. Një grup rregullash në punë që askush nuk e ruajti është shpjegim i vlefshëm dhe më i zakonshmi.

Mos filloni duke reinstaluar paketën.

Lexojeni mjetin e këmbënguljes përpara se ta përdorni

Mjetet e Debian-it e trajtojnë këmbënguljen si problem shtojcash: çdo shtojcë di të shkruajë rregullat e veta dhe një mbështjellës i thërret ato. Veprimi i ruajtjes ruan gjithçka që është e ngarkuar në atë moment, dhe veprimi i nisjes e ngarkon përsëri atë pamje. Asnjëri veprim nuk shqyrton atë që ruan.

Kjo është një pamje, jo një shqyrtim. Një leje e mbetur nga një sesion diagnostikimi, një eksperiment i papërfunduar ose një rregull lejues që futi një ndihmës tjetër, të gjitha bëhen të përhershme bashkë me politikën që kishit ndërmend të mbani. Ruajtja e gjendjes dhe miratimi i gjendjes janë veprimtari të ndryshme dhe vetëm njëra prej tyre kërkon gjykim. Lexoni së pari grupin e ngarkuar, pastaj vendosni cilat rreshta meritojnë të mbijetojnë.

Ruani me qëllim, pasi të keni lexuar atë që është e ngarkuar.

Vendosni çfarë duhet të mbijetojë

Disa rregulla i përkasin ciklit jetësor të një ndërfaqeje dhe duhet të zhduken bashkë me të. Të tjerët duhet të mbijetojnë tunelin dhe shembulli më i qartë është një kufizim që ndalon trafikun e klientëve të bjerë përsëri në ndërfaqen fizike kur tuneli bie. Këto dy kategori kërkojnë nxitës të ndryshëm rikthimi, jo një pamje të përbashkët.

Shkruani rezultatin e synuar për tri momente: nisjen, aktivizimin e VPN-së dhe humbjen e tunelit. Pastaj verifikoni nëse mjeti që zgjidhët i shpreh të gjitha. Një paketë këmbënguljeje që ringarkon një pamje statike e trajton të parin dhe mund të mos trajtojë asnjë nga të tjerët, sepse pamja nuk e di se kur ndryshoi gjendja e tunelit. Nëse nuk i shpreh, hendeku i takon një komponenti tjetër.

Përgjigjen e vendos politika, jo paketa.

Kontrolloni rendin e rikthimit

Rikthimi i skedarit nuk është e njëjta gjë me zotërimin e rezultatit. Një menaxher tjetër mund t'i zëvendësojë rregullat, një accept i mëparshëm mund t'i mbulojë ato, ose klientët mund të fillojnë të dërgojnë para se kufizimi të vendoset. Rishikoni sjelljen në nisje dhe në rilidhje, jo vetëm praninë e një skedari të ruajtur.

systemctl status netfilter-persistent
iptables -S

Mos supozoni se ndalimi i shërbimit të këmbënguljes është i padëmshëm, sepse paketa dokumenton një pastrim të kushtëzuar kur ndalet. Përcaktoni konfigurimin aktual të shërbimit përpara se të përdorni stop ose restart si eksperiment në një portë që e administroni nga larg. Një sesion konsolë dhe një kthim i dokumentuar janë minimumi përpara atij testi.

Rendi është veti e sistemit që punon, jo e skedarit në disk.

Pranoni tri rezultate të ndara

Regjistroni instalimin e paketës, grupin e rregullave të ngarkuar dhe politikën e zbatuar si fakte të ndara. Emri i paketës në një temë mbështetjeje përgjigjet vetëm për të parin dhe pikërisht ai rrallë ka rëndësi.

nft list ruleset

Pastaj testoni një veprim të lejuar dhe një refuzim të kërkuar.

Nëse refuzimi qëndron pas një rinisjeje dhe pas rënies së tunelit, politika mbijetoi. Nëse qëndron vetëm në njërin prej këtyre gjendjeve, keni gjetur problemin e rendit dhe nuk e keni rregulluar.