Güvenlik duvarı paketi kuruldu, kurallar yeniden başlatmadan sonra kayboldu

Paket sorunsuz kuruldu, kurallar test edildi ve bir sonraki yeniden başlatmadan sonra ağ geçidi tamamen açıktı. İşlemde hiçbir şey başarısız olmadı; başarısız olan, kalıcı olacağı varsayılan şeydi. Güvenlik duvarı araçlarını kurmak, hangi kuralların hayatta kalması gerektiğine karar vermek ve bunları doğru anda geri yüklemek üç ayrı iştir.

Belirti size gerçekte ne söylüyor

Yeniden başlatmada kaybolan bir kural kümesinin üç sahibinden biri vardır: kimse kaydetmedi, başka bir şey onun yerini aldı ya da bağlı olduğu şey var olmadan önce geri yüklendi. İlk ikisi yapılandırmada görünür; üçüncüsü yalnızca sıralamada ortaya çıkar. Bu yüzden yeniden başlatma, gerçekte bir sıra sorunu olduğunda veri kaybı gibi görünebilir.

Yeniden başlatmadan önce neyin doğru olduğunu yazarak başlayın: kuralları hangi hizmet tutuyordu, açılışta hangi dosyayı veya veritabanını okuyordu ve o kaynak hiç yazılmış mıydı. Kimsenin kaydetmediği çalışan bir kural kümesi geçerli bir açıklamadır ve en yaygın olanıdır.

Paketi yeniden kurarak başlamayın.

Kullanmadan önce kalıcılık aracını okuyun

Debian araçları kalıcılığı bir eklenti sorunu olarak görür: her eklenti kendi kurallarını nasıl yazacağını bilir ve bir sarmalayıcı onları çağırır. Kaydetme eylemi o anda yüklü olan her şeyi saklar, başlatma eylemi o anlık görüntüyü geri yükler. Hiçbir eylem neyi sakladığını gözden geçirmez.

Bu bir anlık görüntüdür, inceleme değil. Bir hata ayıklama oturumundan kalan izin, yarım kalmış bir deneme veya başka bir yardımcının eklediği gevşek bir kural, tutmayı düşündüğünüz ilkenin yanında kalıcı hale gelir. Durumu kaydetmek ile durumu onaylamak farklı etkinliklerdir ve yalnızca biri muhakeme gerektirir. Önce yüklü kümeyi okuyun, sonra hangi satırların hayatta kalmayı hak ettiğine karar verin.

Yüklü olanı okuduktan sonra bilinçli olarak kaydedin.

Neyin hayatta kalacağına karar verin

Bazı kurallar bir arayüzün yaşam döngüsüne aittir ve onunla birlikte kaybolmalıdır. Diğerleri tünelden daha uzun yaşamalıdır ve en açık örnek, tünel düştüğünde istemci trafiğinin fiziksel arayüze geri düşmesini yasaklayan kısıtlamadır. Bu iki kategori farklı geri yükleme tetikleyicilerine ihtiyaç duyar, tek bir ortak anlık görüntüye değil.

Üç an için amaçlanan sonucu yazın: açılış, VPN etkinleştirme ve tünel kaybı. Ardından seçtiğiniz aracın her birini ifade edip edemediğini kontrol edin. Statik bir anlık görüntüyü yeniden yükleyen bir kalıcılık paketi ilkini halleder ve diğerlerinin hiçbirini halledemeyebilir, çünkü bir anlık görüntü tünel durumunun ne zaman değiştiğini bilmez. Bunları ifade edemiyorsa boşluk başka bir bileşene aittir.

Yanıtı paket değil ilke belirler.

Geri yükleme sırasını kontrol edin

Dosyayı geri yüklemek, sonuca sahip olmakla aynı şey değildir. Başka bir yönetici kuralların yerini alabilir, daha önceki bir accept onları gölgeleyebilir veya istemciler kısıtlama yürürlüğe girmeden göndermeye başlayabilir. Yalnızca kaydedilmiş bir dosyanın varlığını değil, açılış ve yeniden bağlanma davranışını da gözden geçirin.

systemctl status netfilter-persistent
iptables -S

Kalıcılık hizmetini durdurmanın zararsız olduğunu varsaymayın, çünkü paket durduğunda koşullu bir temizleme belgeler. Uzaktan yönettiğiniz bir ağ geçidinde stop veya restart komutunu deney olarak kullanmadan önce hizmetin gerçek yapılandırmasını belirleyin. Bir konsol oturumu ve belgelenmiş bir geri alma, o testten önce asgari koşuldur.

Sıra, çalışan sistemin özelliğidir, diskteki dosyanın değil.

Üç ayrı sonucu kabul edin

Paket kurulumunu, yüklü kural kümesini ve uygulanan ilkeyi ayrı olgular olarak kaydedin. Bir destek başlığındaki paket adı yalnızca ilkini yanıtlar ve nadiren önemli olan da odur.

nft list ruleset

Ardından izin verilen bir işlemi ve gerekli bir reddi test edin.

Red, yeniden başlatmadan sonra ve tünel düştükten sonra da sürüyorsa ilke hayatta kalmıştır. Yalnızca bu durumlardan birinde sürüyorsa sıra sorununu bulmuşsunuzdur, düzeltmemişsinizdir.