Тестирање измена заштитног зида без закључавања себе напољу
Поређајте путеве опоравка пре него што правило уђе, а затим проверите током који нова политика мора да оцени, а не сесијом која је преживела.
Правило улази, терминал који већ имате наставља да одговара, а следеће пријављивање се одбија. Управо тај јаз је сва тешкоћа тестирања измене заштитног зида преко везе коју мењате. Праћење везе одлучује једном и затим престаје да гледа, па је успостављени ток једина провера која не може да види нову политику. У наставку се пореде три пута назад, а затим се одређује редослед којим се правила мењају и проверавају.
Зашто је преживела сесија најслабији доказ
Заштитни зид са стањем оцењује први пакет тока и задржава ту пресуду докле год запис постоји. Правила додата касније важе за токове који почињу касније, зато прозор у који куцате остаје употребљив док се сви остали одбијају. Оно што из њега научите описује политику која је важила пре неколико минута. Чак и снимак начињен на том току показује одлуку коју је машина већ донела.
Третирајте радну сесију као излаз у нужди, а не као мерење. Свака провера која вреди мора да отвори нови ток са извора који ће ново правило оценити, а прва провера треба да буде она чији би неуспех највише болео. Када је та сесија једини пут унутра, измена још није спремна за извођење.
Три пута назад, поређана по ономе од чега сваки зависи
Поређајте опције по томе колико зависе од уређаја који се тестира, јер том поретку прибегавате када се правило покаже погрешним. Конзола која никада не пролази кроз заштитни зид је независна, увежбано враћање је скоро такво, а већ отворена сесија није.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
Пре измене пријавите се преко конзоле и докажите да ради, јер пут ван опсега који никада нисте користили јесте шема, а не резерва. Враћање заслужује своје место тек после вежбе на тој платформи, са тим скупом правила, по одобреној процедури уместо импровизације на живој машини. Запишите кораке и нека вам их неко други прочита. Ако редослед захтева ваше памћење да би се завршио, то није план.
Једна измена, затим веза која мора да се оцени
Сачувајте скуп правила који ради и датотеку која га поседује, па направите једну уску измену. Једна измена по тесту чини исход приписивим; две одједном остављају радну машину и никакву представу која је измена обавила посао. Где платформа може да анализира конфигурацију без њеног учитавања, учините то прво, да штампарска грешка падне док ништа није у ризику.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confЗатим започните нову сесију са извора који ће измењено правило поклопити, док је конзола још повезана. Поновите једном ако успе, јер први покушај може да слети на запис који је табела већ држала. Ако не успе, још увек имате пут унутра и одлуку коју можете да повучете, а то је најјефтинији лош исход који постоји.
Бројачи, стање и датотека одговарају на различита питања
Свако од три запажања може само за себе да изгледа уверљиво и да вас заведе у вези са остала два. Бројачи показују да ли је ток који сте управо створили стигао до правила које сте изменили. Табела стања показује које токове машина сматра већ успостављеним, и тако покварено правило и даље може да изгледа здраво. Сачувана датотека показује шта ће уређај радити после следећег поновног учитавања, а то можда није оно што тренутни скуп правила ради сада.
ss -tn state establishedЧитајте бројаче као разлику, а не као збир, јер је једини број који је важан онај који је померио ваш тестни ток. Правило чији се бројач никада не повећава не поклапа се, колико год исправно изгледало на папиру. Потврдите и случај одбијања: политика која никада ништа није одбила никада није доказала да одбија оно што сте намеравали да блокирате. Прођите кроз један интерфејс у свакој фамилији коју распоређивање заиста носи, јер правило v4 не говори ништа о току v6.
Вратите из сачуваног скупа правила, затим ускладите датотеку
Када измена не успе, учитајте сачувани скуп правила уместо да додајете дозвољавајућа правила док пријављивања поново не прораде. Свако додатно дозвољење стишава симптом и оставља рупу која надживљава инцидент и сећање на њега. Вратите, поново се повежите, затим држите неуспело поређење поред записа о томе шта сте покушали.
После успешне измене, датотека на диску треба да описује скуп правила који ради, и потврдите да га поновно учитавање репродукује. Скуп правила који је одлутао од сопствене конфигурационе датотеке је замка постављена за следеће подизање.