మిమ్మల్ని బయట లాక్ చేసుకోకుండా ఫైర్‌వాల్ మార్పులను పరీక్షించడం
నియమం లోపలికి రాకముందే మీ పునరుద్ధరణ మార్గాలను క్రమబద్ధీకరించి, తర్వాత బయటపడిన సెషన్‌తో కాకుండా కొత్త విధానం మూల్యాంకనం చేయాల్సిన ప్రవాహంతో ధృవీకరించండి.
నియమం లోపలికి వస్తుంది, ఇప్పటికే ఉన్న టెర్మినల్ సమాధానం ఇస్తూనే ఉంటుంది, తదుపరి లాగిన్ తిరస్కరించబడుతుంది. మీరు మారుస్తున్న కనెక్షన్ మీదుగా ఫైర్‌వాల్ మార్పును పరీక్షించడంలో మొత్తం కష్టం ఆ అంతరమే. కనెక్షన్ ట్రాకింగ్ ఒకసారి నిర్ణయించి తర్వాత చూడటం ఆపేస్తుంది, కాబట్టి స్థిరపడిన ప్రవాహం కొత్త విధానాన్ని చూడలేని ఏకైక పరీక్ష. ఇక మూడు తిరిగి వెళ్లే మార్గాలను పోల్చి, తర్వాత నియమాలను మార్చి పరిశీలించాల్సిన క్రమాన్ని నిర్ణయిస్తుంది.
బయటపడిన సెషన్ బలహీనతరమైన సాక్ష్యం ఎందుకు
స్థితి ఉన్న ఫైర్‌వాల్ ప్రవాహం మొదటి ప్యాకెట్‌ను మూల్యాంకనం చేసి, నమోదు ప్రాణంతో ఉన్నంత కాలం ఆ తీర్పును ఉంచుతుంది. తర్వాత జోడించిన నియమాలు తర్వాత ప్రారంభమయ్యే ప్రవాహాలకు వర్తిస్తాయి, అందుకే మీరు టైప్ చేస్తున్న విండో ఉపయోగించదగినదిగా ఉంటుంది, మిగతా అందరూ తిరస్కరించబడుతుంటారు. దాని నుండి మీరు నేర్చుకునేది కొన్ని నిమిషాల క్రితం అమలులో ఉన్న విధానాన్ని వివరిస్తుంది. ఆ ప్రవాహంలో తీసిన క్యాప్చర్ కూడా యంత్రం ఇప్పటికే తీసుకున్న నిర్ణయాన్ని చూపిస్తుంది.
పనిచేస్తున్న సెషన్‌ను కొలత కాదు, అత్యవసర నిష్క్రమణగా భావించండి. విలువైన ప్రతి పరీక్ష కొత్త నియమం మూల్యాంకనం చేసే మూలం నుండి కొత్త ప్రవాహాన్ని తెరవాలి, మరియు మొదటి పరీక్ష విఫలమైతే ఎక్కువ బాధించేదిగా ఉండాలి. ఆ సెషన్ లోపలికి వెళ్లే ఏకైక మార్గమైతే, మార్పు ఇంకా చేయడానికి సిద్ధంగా లేదు.
తిరిగి వెళ్లే మూడు మార్గాలు, ప్రతిది దేనిపై ఆధారపడి ఉందో దాని ప్రకారం క్రమబద్ధీకరించబడ్డాయి
పరీక్షలో ఉన్న పరికరంపై ఎంత ఆధారపడి ఉన్నాయో దాని ఆధారంగా ఎంపికలను క్రమబద్ధీకరించండి, ఎందుకంటే నియమం తప్పు అని తేలినప్పుడు మీరు ఆ క్రమాన్నే పట్టుకుంటారు. ఫైర్‌వాల్ గుండా ఎప్పుడూ వెళ్లని కన్సోల్ స్వతంత్రం, సాధన చేసిన రోల్‌బ్యాక్ దాదాపు అలాగే ఉంటుంది, ఇప్పటికే తెరిచిన సెషన్ అలా ఉండదు.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
మార్పుకు ముందు కన్సోల్ ద్వారా లాగిన్ అయి అది పనిచేస్తుందని నిరూపించండి, ఎందుకంటే మీరు ఎప్పుడూ ఉపయోగించని బాహ్య మార్గం రేఖాచిత్రం, ప్రత్యామ్నాయం కాదు. రోల్‌బ్యాక్ ఆ వేదికపై, ఆ నియమ సముదాయంతో, ఆమోదించబడిన విధానాన్ని పాటించి చేసిన సాధన తర్వాతే తన స్థానాన్ని పొందుతుంది, సజీవ యంత్రంపై తక్షణ పరిష్కారం చేయడానికి బదులుగా. దశలను రాసి మరొకరిని చదివి వినిపించమని అడగండి. క్రమాన్ని పూర్తి చేయడానికి మీ జ్ఞాపకం అవసరమైతే, అది ప్రణాళిక కాదు.
ఒక మార్పు, తర్వాత మూల్యాంకనం చేయాల్సిన కనెక్షన్
నడుస్తున్న నియమ సముదాయాన్ని, దానిని కలిగి ఉన్న ఫైల్‌ను సేవ్ చేసి, తర్వాత ఒకే ఇరుకైన సవరణ చేయండి. పరీక్షకు ఒక మార్పు ఫలితాన్ని ఆపాదించగలిగేలా ఉంచుతుంది; ఒకేసారి రెండు చేస్తే నడుస్తున్న యంత్రం, ఏ సవరణ పని చేసిందో తెలియని స్థితి మిగులుతాయి. వేదిక కాన్ఫిగరేషన్‌ను లోడ్ చేయకుండా విశ్లేషించగల చోట అది ముందుగా చేయండి, దానితో టైపింగ్ పొరపాటు ఏదీ ప్రమాదంలో లేనప్పుడు బయటపడుతుంది.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confతర్వాత కన్సోల్ ఇంకా కనెక్ట్ అయి ఉండగా, మార్చిన నియమానికి సరిపోయే మూలం నుండి కొత్త సెషన్ ప్రారంభించండి. విజయవంతమైతే ఒకసారి పునరావృతం చేయండి, ఎందుకంటే మొదటి ప్రయత్నం పట్టికలో ఇప్పటికే ఉన్న నమోదుపై పడవచ్చు. విఫలమైతే లోపలికి వెళ్లే మార్గం, వెనక్కి తీసుకోవాల్సిన నిర్ణయం రెండూ మిగులుతాయి, అదే అందుబాటులో ఉన్న చౌకైన చెడు ఫలితం.
కౌంటర్లు, స్థితి, ఫైల్ వేర్వేరు ప్రశ్నలకు సమాధానం ఇస్తాయి
మూడు పరిశీలనలలో ప్రతిది ఒంటరిగా నమ్మదగినట్లు కనిపించి మిగతా రెండింటి గురించి మిమ్మల్ని తప్పుదారి పట్టించవచ్చు. మీరు ఇప్పుడే సృష్టించిన ప్రవాహం మీరు సవరించిన నియమాన్ని చేరిందా అని కౌంటర్లు చూపిస్తాయి. యంత్రం ఏ ప్రవాహాలను ఇప్పటికే స్థిరపడినవిగా భావిస్తుందో స్థితి పట్టిక చూపిస్తుంది, అలా పాడైన నియమం కూడా ఆరోగ్యంగా కనిపించవచ్చు. సేవ్ చేసిన ఫైల్ తదుపరి రీలోడ్ తర్వాత పరికరం ఏమి చేస్తుందో చూపిస్తుంది, అది ఇప్పుడు నడుస్తున్న నియమ సముదాయం చేస్తున్నది కాకపోవచ్చు.
ss -tn state establishedకౌంటర్లను మొత్తంగా కాదు, డెల్టాగా చదవండి, ఎందుకంటే ముఖ్యమైన ఏకైక సంఖ్య మీ పరీక్షా ప్రవాహం కదిలించిందే. కౌంటర్ ఎప్పుడూ పెరగని నియమం సరిపోదు, కాగితంపై ఎంత సరిగ్గా కనిపించినా. తిరస్కరణ సందర్భాన్ని కూడా నిర్ధారించండి: ఎప్పుడూ ఏదీ తిరస్కరించని విధానం మీరు నిరోధించాలనుకున్నదాన్ని తిరస్కరిస్తుందని ఎప్పుడూ నిరూపించలేదు. అమరిక నిజంగా మోసే ప్రతి కుటుంబంలో ఒక ఇంటర్‌ఫేస్ ద్వారా వెళ్లండి, ఎందుకంటే v4 నియమం v6 ప్రవాహం గురించి ఏమీ చెప్పదు.
సేవ్ చేసిన నియమ సముదాయం నుండి పునరుద్ధరించి, తర్వాత ఫైల్‌ను సరిపోల్చండి
మార్పు విఫలమైతే, లాగిన్‌లు మళ్లీ పనిచేసే వరకు అనుమతించే నియమాలను జోడించడానికి బదులుగా సేవ్ చేసిన నియమ సముదాయాన్ని లోడ్ చేయండి. ప్రతి అదనపు అనుమతి లక్షణాన్ని శాంతపరిచి, సంఘటన కంటే, దాని జ్ఞాపకం కంటే ఎక్కువ కాలం నిలిచే రంధ్రాన్ని వదిలిస్తుంది. పునరుద్ధరించి, మళ్లీ కనెక్ట్ అయి, తర్వాత విఫలమైన పోలికను మీరు ప్రయత్నించినదాని నమోదు పక్కన ఉంచండి.
విజయవంతమైన మార్పు తర్వాత, డిస్క్‌లోని ఫైల్ నడుస్తున్న నియమ సముదాయాన్ని వివరించేలా చేయండి, మరియు రీలోడ్ దానిని పునరుత్పత్తి చేస్తుందని నిర్ధారించండి. తన సొంత కాన్ఫిగరేషన్ ఫైల్ నుండి దూరిపోయిన నడుస్తున్న నియమ సముదాయం తదుపరి రీబూట్ కోసం వేసిన ఉచ్చు.