Naka-install ang firewall package, nawala ang mga patakaran pagkatapos ng reboot

Maayos na naka-install ang package, nasubok ang mga patakaran, at pagkatapos ng susunod na reboot ay bukas na bukas ang gateway. Walang nabigo sa transaksyon; ang nabigo ay ang inaasahang mananatili. Pag-install ng mga kagamitan sa firewall, pagpapasya kung aling patakaran ang dapat manatili, at pagbabalik ng mga ito sa tamang sandali ay tatlong magkahiwalay na gawain.

Ano talaga ang sinasabi sa iyo ng sintomas

Ang rule set na nawawala sa reboot ay may isa sa tatlong may-ari: walang nag-save nito, may ibang pumalit dito, o naibalik ito bago pa umiral ang bagay na kailangan nito. Nakikita sa configuration ang unang dalawa; ang pangatlo ay lumilitaw lamang sa pagkakasunod-sunod. Kaya nga ang reboot ay maaaring magmukhang pagkawala ng data kung talagang problema ito sa pagkakasunod-sunod.

Magsimula sa pagsulat ng totoo bago ang reboot: aling serbisyo ang may hawak ng mga patakaran, aling file o database ang binasa nito sa pagsisimula, at kung ang pinagmulang iyon ay naisulat kailanman. Ang kasalukuyang rule set na walang nag-save ay wastong paliwanag at ito ang pinakakaraniwan.

Huwag magsimula sa muling pag-install ng package.

Basahin ang kagamitan sa pagpapanatili bago ito gamitin

Itinuturing ng mga kagamitan ng Debian ang pagpapanatili bilang problema ng plugin: alam ng bawat plugin kung paano isulat ang sarili nitong patakaran, at isang wrapper ang tumatawag sa mga ito. Iniimbak ng save action nito ang lahat ng naka-load sa sandaling iyon, at ibinabalik ng start action ang snapshot na iyon. Wala sa alinmang aksyon ang nagsusuri sa iniimbak nito.

Iyon ay snapshot, hindi pagsusuri. Ang natirang allow mula sa sesyon ng pag-debug, ang hindi natapos na eksperimento, o ang maluwag na patakarang ipinasok ng ibang katulong ay pawang nagiging permanenteng kasama ng patakarang balak mong panatilihin. Magkaibang gawain ang pag-save ng estado at ang pag-apruba ng estado, at isa lamang sa kanila ang nangangailangan ng pagpapasya. Basahin muna ang naka-load na set, saka magpasya kung aling linya ang karapat-dapat manatili.

Mag-save nang sinasadya, pagkatapos basahin ang naka-load.

Magpasya kung ano ang dapat manatili

May mga patakarang kabilang sa lifecycle ng isang interface at dapat mawala kasama nito. Ang iba ay dapat mabuhay nang mas matagal kaysa sa tunnel, at ang pinakamalinaw na halimbawa ay isang paghihigpit na nagbabawal sa trapiko ng kliyente na bumalik sa pisikal na interface kapag bumagsak ang tunnel. Kailangan ng dalawang kategoryang iyon ng magkaibang trigger sa pagbabalik, hindi isang pinagsasaluhang snapshot.

Isulat ang nais na resulta para sa tatlong sandali: boot, pag-activate ng VPN at pagkawala ng tunnel. Pagkatapos, tingnan kung kayang ipahayag ng pinili mong kagamitan ang bawat isa. Ang package sa pagpapanatili na nagbabalik ng static na snapshot ay humahawak sa una at maaaring wala sa iba pa, dahil hindi alam ng snapshot kung kailan nagbago ang estado ng tunnel. Kung hindi nito maipahayag ang mga iyon, sa ibang bahagi nabibilang ang puwang.

Ang patakaran, hindi ang package, ang nagpapasya ng sagot.

Suriin ang pagkakasunod-sunod ng pagbabalik

Ang pagbalik ng file ay hindi katulad ng pagmamay-ari ng resulta. Maaaring palitan ng ibang manager ang mga patakaran, maaaring matakpan ito ng naunang accept, o maaaring magsimulang magpadala ang mga kliyente bago dumating ang paghihigpit. Suriin ang pag-uugali sa pagsisimula at sa muling pagkonekta, hindi lamang ang pagkakaroon ng naka-save na file.

systemctl status netfilter-persistent
iptables -S

Huwag ipagpalagay na walang panganib ang paghinto ng serbisyo sa pagpapanatili, dahil itinatala ng package ang kondisyonal na pag-flush kapag huminto ito. Alamin ang aktwal na configuration ng serbisyo bago gamitin ang stop o restart bilang eksperimento sa isang gateway na pinangangasiwaan mo nang malayuan. Ang sesyon sa console at dokumentadong rollback ang pinakamababa bago ang pagsubok na iyon.

Ang pagkakasunod-sunod ay katangian ng tumatakbong sistema, hindi ng file sa disk.

Tanggapin ang tatlong magkahiwalay na resulta

Itala ang pag-install ng package, ang naka-load na rule set at ang ipinapatupad na patakaran bilang magkahiwalay na katotohanan. Ang pangalan ng package sa isang thread ng suporta ay sumasagot lamang sa una, at iyon ang bihirang mahalaga.

nft list ruleset

Pagkatapos, subukan ang isang pinapayagang operasyon at isang kinakailangang pagtanggi.

Kung nananatili ang pagtanggi pagkatapos ng reboot at pagkatapos bumagsak ang tunnel, nanatili ang patakaran. Kung nananatili ito sa isa lamang sa mga estadong iyon, natagpuan mo ang problema sa pagkakasunod-sunod sa halip na naayos ito.