Pagsubok sa mga pagbabago sa firewall nang hindi nakakandado sa labas

Pumapasok ang panuntunan, patuloy na sumasagot ang terminal na mayroon ka na, at tinatanggihan ang susunod na pag-login. Ang puwang na iyon ang buong kahirapan ng pagsubok sa pagbabago ng firewall sa koneksyong binabago mo. Ang pagsubaybay ng koneksyon ay nagpapasya isang beses at pagkatapos ay tumitigil sa pagtingin, kaya ang isang matatag na daloy ang tanging pagsusuring hindi makikita ang bagong patakaran. Ang sumusunod ay naghahambing ng tatlong landas pabalik, pagkatapos ay itinatakda ang pagkakasunod-sunod kung saan babaguhin at susuriin ang mga panuntunan.

Bakit ang nakaligtas na sesyon ang pinakamahinang ebidensya

Sinusuri ng firewall na may estado ang unang packet ng isang daloy at pinapanatili ang hatol na iyon hangga't buhay ang entry. Ang mga panuntunang idinagdag pagkatapos ay nalalapat sa mga daloy na nagsisimula mamaya, kaya nananatiling magagamit ang window na tinatype mo habang tinatanggihan ang lahat ng iba. Ang anumang matututuhan mo mula rito ay naglalarawan sa patakarang umiiral ilang minuto ang nakalipas. Kahit ang isang capture na kinuha sa daloy na iyon ay nagpapakita ng desisyong ginawa na ng makina.

Tratuhin ang gumaganang sesyon bilang emergency na labasan at hindi bilang pagsukat. Ang bawat pagsusuring sulit gawin ay dapat magbukas ng bagong daloy mula sa pinagmulang susuriin ng bagong panuntunan, at ang unang pagsusuri ay dapat ang pinakamasakit kung mabibigo. Kapag ang sesyong iyon ay ang tanging daan mo papasok, hindi pa handa ang pagbabago.

Tatlong landas pabalik, inayos ayon sa kung ano ang pinagkakatiwalaan ng bawat isa

Ihanay ang mga opsyon ayon sa kung gaano umaasa sa device na sinusubok, dahil ang pagkakasunod-sunod na iyon ang kinakapitan mo kapag napatunayang mali ang panuntunan. Ang console na hindi kailanman dumadaan sa firewall ay independiyente, ang sinanay na rollback ay halos gayon, at ang sesyong bukas na ay hindi.

Bago ang pagbabago, mag-login sa pamamagitan ng console at patunayan na gumagana ito, dahil ang out-of-band na landas na hindi mo kailanman ginamit ay isang diagram at hindi backup. Ang rollback ay nakakamit ang lugar nito pagkatapos lamang ng ensayo sa platform na iyon, gamit ang set ng panuntunang iyon, pagsunod sa aprubadong pamamaraan sa halip na mag-imbento sa buhay na makina. Isulat ang mga hakbang at ipabasang muli sa iba. Kung ang pagkakasunod-sunod ay nangangailangan ng iyong memorya upang matapos, hindi ito plano.

Isang pagbabago, pagkatapos ay isang koneksyong dapat suriin

I-save ang tumatakbong set ng panuntunan at ang file na nagmamay-ari nito, pagkatapos ay gumawa ng isang makitid na pag-edit. Ang isang pagbabago kada pagsubok ay nagpapanatili sa resulta na maipapamahagi; ang dalawa nang sabay ay nag-iiwan sa iyo ng gumaganang makina at walang ideya kung aling pag-edit ang gumawa ng gawain. Kung saan kayang suriin ng platform ang isang configuration nang hindi ito nilo-load, gawin iyon muna, upang mabigo ang typo habang walang nakataya.

nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.conf

Pagkatapos ay magsimula ng bagong sesyon mula sa pinagmumulang tutugmaan ng binagong panuntunan, habang nakakabit pa ang console. Ulitin ito nang isang beses kung magtagumpay, dahil ang unang pagtatangka ay maaaring mapunta sa entry na hawak na ng talahanayan. Kung mabigo, mayroon ka pa ring daan papasok at desisyong maibabalik, at iyon ang pinakamurang masamang kinalabasan na makukuha.

Ang mga counter, estado at file ay sumasagot sa magkakaibang tanong

Ang bawat isa sa tatlong obserbasyon ay maaaring magmukhang kapani-paniwala nang mag-isa at iligaw ka tungkol sa dalawa. Ipinapakita ng mga counter kung naabot ng daloy na ginawa mo lang ang panuntunang in-edit mo. Ipinapakita ng talahanayan ng estado kung aling mga daloy ang inaakalang matatag na ng makina, at sa gayon ang sirang panuntunan ay maaari pa ring magmukhang malusog. Ipinapakita ng naka-save na file kung ano ang gagawin ng device pagkatapos ng susunod na reload, at maaaring hindi iyon ang ginagawa ng tumatakbong set ng panuntunan ngayon.

ss -tn state established

Basahin ang mga counter bilang delta at hindi bilang kabuuan, dahil ang tanging bilang na mahalaga ay ang inilipat ng iyong test flow. Ang panuntunang hindi kailanman tumataas ang counter ay hindi tumutugma, gaano man ito katama sa papel. Kumpirmahin din ang kaso ng pagtanggi: ang patakarang hindi kailanman tumanggi sa anuman ay hindi kailanman nagpatunay na tinatanggihan nito ang nais mong harangin. Dumaan sa isang interface sa bawat pamilyang talagang dinadala ng deployment, dahil walang sinasabi ang panuntunang v4 tungkol sa daloy na v6.

Ibalik mula sa naka-save na set ng panuntunan, pagkatapos ay itugma ang file

Kapag nabigo ang pagbabago, i-load ang naka-save na set ng panuntunan sa halip na magdagdag ng mga panuntunang nagpapahintulot hanggang gumana muli ang mga login. Ang bawat karagdagang permit ay nagpapatahimik sa sintomas at nag-iiwan ng butas na mas matagal pa kaysa sa insidente at sa alaala nito. Ibalik, muling kumonekta, pagkatapos ay itabi ang nabigong paghahambing sa tabi ng talaan ng iyong sinubukan.

Pagkatapos ng matagumpay na pagbabago, gawing ilarawan ng file sa disk ang tumatakbong set ng panuntunan, at kumpirmahin na muling ginagawa ito ng reload. Ang buhay na set ng panuntunan na lumihis mula sa sarili nitong configuration file ay bitag na inilagay para sa susunod na reboot.