Kendinizi dışarıda bırakmadan güvenlik duvarı değişikliklerini test etmek

Kural devreye girer, elinizdeki terminal yanıt vermeye devam eder ve bir sonraki oturum açma reddedilir. Değiştirdiğiniz bağlantı üzerinden bir güvenlik duvarı değişikliğini test etmenin tüm zorluğu tam olarak bu boşluktur. Bağlantı izleme bir kez karar verir ve sonra bakmayı bırakır, bu yüzden kurulu bir akış yeni politikayı göremeyen tek denemedir. Aşağıda geri dönmenin üç yolu karşılaştırılır, ardından kuralların hangi sırayla değiştirilip denetleneceği belirlenir.

Hayatta kalan oturum neden en zayıf kanıttır

Durum bilgili bir güvenlik duvarı bir akışın ilk paketini değerlendirir ve kayıt yaşadığı sürece bu hükmü korur. Sonradan eklenen kurallar daha sonra başlayan akışlara uygulanır, bu yüzden sizin yazdığınız pencere kullanılabilir kalırken diğer herkes reddedilir. Ondan öğrendikleriniz birkaç dakika önce yürürlükte olan politikayı anlatır. O akışta alınan bir kayıt bile makinenin çoktan verdiği bir kararı gösterir.

Çalışan oturumu ölçüm değil, acil çıkış olarak görün. Değerli her denetim yeni kuralın değerlendireceği bir kaynaktan yeni bir akış açmalıdır ve ilk denetim başarısız olması en çok acıtacak olan olmalıdır. O oturum içeri girmenin tek yoluysa, değişiklik henüz yapılmaya hazır değildir.

Geri dönmenin üç yolu, her birinin neye bağlı olduğuna göre sıralanır

Seçenekleri test edilen cihaza ne kadar bağlı olduklarına göre sıralayın, çünkü kural yanlış çıktığında başvurduğunuz sıra budur. Güvenlik duvarından hiç geçmeyen konsol bağımsızdır, prova edilmiş geri alma neredeyse öyledir, zaten açık olan oturum ise değildir.

Değişiklikten önce konsoldan oturum açın ve çalıştığını kanıtlayın, çünkü hiç kullanmadığınız bant dışı bir yol bir şemadır, yedek değil. Geri alma yerini ancak o platformda, o kural kümesiyle, onaylanmış prosedürü izleyerek yapılan bir provadan sonra kazanır; canlı bir makinede doğaçlama yaparak değil. Adımları yazın ve başkasına sesli okutun. Dizi tamamlanmak için belleğinize ihtiyaç duyuyorsa, bu bir plan değildir.

Tek bir değişiklik, sonra değerlendirilmesi gereken bir bağlantı

Çalışan kural kümesini ve ona sahip dosyayı kaydedin, sonra tek ve dar bir düzenleme yapın. Test başına tek değişiklik sonucu atfedilebilir tutar; aynı anda iki değişiklik size çalışan bir makine ve hangi düzenlemenin işi yaptığına dair hiçbir fikir bırakmaz. Platformun bir yapılandırmayı yüklemeden ayrıştırabildiği yerde bunu önce yapın, böylece hiçbir şey risk altında değilken bir yazım hatası ortaya çıksın.

nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.conf

Ardından konsol hâlâ bağlıyken, değişen kuralın eşleşeceği bir kaynaktan yeni bir oturum başlatın. Başarılı olursa bir kez yineleyin, çünkü ilk deneme tablonun zaten tuttuğu bir kayda düşebilir. Başarısız olursa hâlâ içeri girmenin bir yolu ve geri alınacak bir karar vardır, ve bu mevcut en ucuz kötü sonuçtur.

Sayaçlar, durum ve dosya farklı soruları yanıtlar

Üç gözlemden her biri tek başına ikna edici görünebilir ve diğer ikisi hakkında sizi yanıltabilir. Sayaçlar yeni oluşturduğunuz akışın düzenlediğiniz kurala ulaşıp ulaşmadığını gösterir. Durum tablosu makinenin hangi akışları zaten kurulmuş saydığını gösterir ve böylece bozuk bir kural hâlâ sağlıklı görünebilir. Kaydedilen dosya cihazın bir sonraki yeniden yüklemeden sonra ne yapacağını gösterir ve bu, çalışan kural kümesinin şu anda yaptığı şey olmayabilir.

ss -tn state established

Sayaçları toplam olarak değil delta olarak okuyun, çünkü önemli olan tek sayı test akışınızın hareket ettirdiği sayıdır. Sayacı hiç artmayan bir kural eşleşmez, kağıt üzerinde ne kadar doğru görünse de. Reddetme durumunu da doğrulayın: hiçbir şeyi hiç reddetmemiş bir politika, engellemek istediğiniz şeyi reddettiğini hiç kanıtlamamıştır. Dağıtımın gerçekten taşıdığı her ailede bir arayüzden geçin, çünkü bir v4 kuralı bir v6 akışı hakkında hiçbir şey söylemez.

Kaydedilen kural kümesinden geri yükleyin, sonra dosyayı uyumlu hale getirin

Değişiklik başarısız olduğunda, oturum açmalar yeniden çalışana kadar izin veren kurallar eklemek yerine kaydedilen kural kümesini yükleyin. Her ek izin belirtiyi susturur ve olaydan ve onun hatırasından daha uzun yaşayan bir delik bırakır. Geri yükleyin, yeniden bağlanın, sonra başarısız karşılaştırmayı neyi denediğinizin kaydının yanında saklayın.

Başarılı bir değişiklikten sonra, diskteki dosyanın çalışan kural kümesini tanımlamasını sağlayın ve yeniden yüklemenin onu yeniden ürettiğini doğrulayın. Kendi yapılandırma dosyasından uzaklaşmış canlı bir kural kümesi, bir sonraki yeniden başlatma için kurulmuş bir tuzaktır.