Kujaribu mabadiliko ya firewall bila kujifungia nje

Kanuni inaingia, terminal uliyo nayo tayari inaendelea kujibu, na kuingia kunaofuata kunakataliwa. Pengo hilo ndilo ugumu wote wa kujaribu mabadiliko ya firewall kupitia muunganisho unaoubabadilisha. Ufuatiliaji wa miunganisho huamua mara moja kisha huacha kuangalia, kwa hiyo mtiririko ulioimarika ndilo jaribio pekee ambalo haliwezi kuona sera mpya. Kinachofuata kinalinganisha njia tatu za kurudi, kisha kinaweka mpangilio wa kubadilisha na kukagua kanuni.

Kwa nini kikao kilichobaki hai ni ushahidi hafifu zaidi

Firewall yenye hali hutathmini pakiti ya kwanza ya mtiririko na huhifadhi hukumu hiyo maadamu ingizo liko hai. Kanuni zinazoongezwa baadaye zinatumika kwa mitiririko inayoanza baadaye, ndiyo sababu dirisha unalochapa ndani yake linabaki likitumika wakati wengine wote wanakataliwa. Unachojifunza kutoka kwake kinaelezea sera iliyokuwa inatumika dakika chache zilizopita. Hata rekodi iliyochukuliwa kwenye mtiririko huo inaonyesha uamuzi ambao mashine tayari imeufanya.

Chukulia kikao kinachofanya kazi kama njia ya dharura ya kutoka na si kama kipimo. Kila ukaguzi unaostahili kufanywa lazima ufungue mtiririko mpya kutoka chanzo ambacho kanuni mpya itakitathmini, na ukaguzi wa kwanza unapaswa kuwa ule ambao kushindwa kwake kungeuma zaidi. Wakati kikao hicho ni njia yako pekee ya kuingia, mabadiliko hayako tayari kufanywa.

Njia tatu za kurudi, zilizopangwa kwa kile kila moja inategemea

Panga chaguo kwa kiasi ambacho zinategemea kifaa kinachojaribiwa, kwa sababu mpangilio huo ndio unaoukumbatia kanuni inapobainika kuwa mbaya. Konsoli ambayo haipiti kamwe kwenye firewall ni huru, urejeshaji uliofanyia mazoezi ni karibu hivyo, na kikao kilicho wazi tayari si hivyo.

Kabla ya mabadiliko, ingia kwa njia ya konsoli na uthibitishe kuwa inafanya kazi, kwa sababu njia ya nje ya mkondo ambayo hukuitumia kamwe ni mchoro na si mbadala. Urejeshaji hupata nafasi yake tu baada ya mazoezi kwenye jukwaa hilo, na seti hiyo ya kanuni, kwa kufuata utaratibu ulioidhinishwa badala ya kufanya mambo kwa ghafla kwenye mashine hai. Andika hatua na mwambie mtu mwingine azisome kwa sauti. Ikiwa mfululizo unahitaji kumbukumbu yako ili ukamilike, si mpango.

Mabadiliko moja, kisha muunganisho ambao lazima utathminiwe

Hifadhi seti ya kanuni inayoendesha na faili inayomiliki, kisha fanya uhariri mmoja mwembamba. Mabadiliko moja kwa jaribio huweka matokeo yakihusishwa; mawili kwa wakati mmoja yanakuachia mashine inayofanya kazi na hakuna wazo la uhariri upi ulifanya kazi. Pale jukwaa linapoweza kuchambua usanidi bila kuupakia, fanya hivyo kwanza, ili makosa ya kuandika yashindwe wakati hakuna kitu hatarini.

nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.conf

Kisha anza kikao kipya kutoka chanzo ambacho kanuni iliyobadilishwa italingana nacho, wakati konsoli bado imeunganishwa. Rudia mara moja ikiwa itafanikiwa, kwa sababu jaribio la kwanza linaweza kutua kwenye ingizo ambalo jedwali lilikuwa nalo tayari. Ikishindikana, bado una njia ya kuingia na uamuzi wa kurudisha nyuma, na hilo ndilo tokeo baya la bei rahisi zaidi linalopatikana.

Vihesabu, hali na faili hujibu maswali tofauti

Kila moja ya uchunguzi tatu inaweza kuonekana ya kushawishi peke yake na kukupotosha kuhusu mengine mawili. Vihesabu vinaonyesha kama mtiririko uliouunda sasa umefikia kanuni uliyoihariri. Jedwali la hali linaonyesha mitiririko ambayo mashine inaamini kuwa imeimarishwa tayari, na hivyo kanuni iliyovunjika inaweza kuonekana mzima bado. Faili iliyohifadhiwa inaonyesha kile kifaa kitakachofanya baada ya upakiaji upya unaofuata, na hilo huenda si kile seti ya kanuni inayoendesha inafanya sasa.

ss -tn state established

Soma vihesabu kama tofauti na si jumla, kwa sababu nambari pekee inayojalisha ni ile ambayo mtiririko wako wa jaribio umeisogeza. Kanuni ambayo kihesabu chake hakiongezeki kamwe hailingani, hata ikiwa inaonekana sahihi kwenye karatasi. Thibitisha pia kisa cha kukataa: sera ambayo haijakataa kitu kamwe haijathibitisha kamwe kwamba inakataa kile ulichokusudia kuzuia. Pitia kiolesura kimoja katika kila familia ambayo usambazaji hubeba kweli, kwa sababu kanuni ya v4 haisemi kitu kuhusu mtiririko wa v6.

Rejesha kutoka seti ya kanuni iliyohifadhiwa, kisha linganisha faili

Mabadiliko yanaposhindikana, pakia seti ya kanuni iliyohifadhiwa badala ya kuongeza kanuni zinazoruhusu hadi kuingia kufanye kazi tena. Kila idhini ya ziada inatuliza dalili na kuacha shimo linaloishi muda mrefu kuliko tukio na kumbukumbu yake. Rejesha, unganisha tena, kisha weka ulinganisho ulioshindikana kando ya rekodi ya kile ulichojaribu.

Baada ya mabadiliko yenye mafanikio, fanya faili iliyo kwenye diski ieleze seti ya kanuni inayoendesha, na uthibitishe kuwa upakiaji upya unaizalisha. Seti ya kanuni hai iliyoachana na faili yake ya usanidi ni mtego uliowekwa kwa uanzishaji upya unaofuata.