O'zingizni tashqarida qulflamasdan tarmoq devori o'zgarishlarini sinash
Qoida kiritilishidan oldin tiklash yo'llaringizni tartibga soling, so'ng yangi siyosat baholashi kerak bo'lgan oqim bilan tekshiring, omon qolgan sessiya bilan emas.
Qoida kiritiladi, sizda bor terminal javob berishda davom etadi va keyingi kirish rad etiladi. O'zgartirayotgan ulanish orqali tarmoq devori o'zgarishini sinashning butun qiyinchiligi shu bo'shliqdir. Ulanishlarni kuzatish bir marta qaror qabul qiladi va keyin qarashni to'xtatadi, shuning uchun o'rnatilgan oqim yangi siyosatni ko'ra olmaydigan yagona tekshiruvdir. Keyingi qismda qaytishning uch yo'li taqqoslanadi, so'ng qoidalarni qanday tartibda o'zgartirish va tekshirish belgilanadi.
Nega omon qolgan sessiya eng zaif dalil
Holatli tarmoq devori oqimning birinchi paketini baholaydi va yozuv tirik ekan, o'sha hukmni saqlaydi. Keyin qo'shilgan qoidalar kechroq boshlanadigan oqimlarga taalluqli, shuning uchun siz yozayotgan oyna ishlatiladigan bo'lib qoladi, qolganlarning barchasi esa rad etiladi. Undan o'rganganlaringiz bir necha daqiqa oldin amalda bo'lgan siyosatni tasvirlaydi. Hatto o'sha oqimda olingan yozuv ham mashina allaqachon qabul qilgan qarorni ko'rsatadi.
Ishlayotgan sessiyaga o'lchov emas, balki favqulodda chiqish sifatida qarang. Har bir arziydigan tekshiruv yangi qoida baholaydigan manbadan yangi oqim ochishi kerak, birinchi tekshiruv esa muvaffaqiyatsiz bo'lsa eng ko'p og'riydigan tekshiruv bo'lishi kerak. O'sha sessiya ichkariga kirishning yagona yo'li bo'lsa, o'zgarish hali tayyor emas.
Qaytishning uch yo'li, har biri nimaga bog'liq ekaniga qarab tartiblangan
Variantlarni sinovdagi qurilmaga qanchalik bog'liqligiga qarab tartiblang, chunki qoida noto'g'ri chiqsa, siz o'sha tartibga murojaat qilasiz. Tarmoq devoridan hech qachon o'tmaydigan konsol mustaqil, mashq qilingan orqaga qaytarish deyarli shunday, allaqachon ochiq sessiya esa unday emas.
| Way back in | What it survives | Where it fails |
|---|---|---|
| out-of-band or hypervisor console | a policy that blocks new logins | needs separate access you have already tried |
| rollback rehearsed on that platform | a rule that breaks remote access | fails when nobody ever ran it |
| the session that is already open | the change itself | cannot show whether new flows work |
O'zgarishdan oldin konsol orqali kiring va uning ishlashini isbotlang, chunki hech qachon ishlatmagan tashqi yo'l sxema, zaxira emas. Orqaga qaytarish o'z joyini faqat o'sha platformada, o'sha qoidalar to'plami bilan, tasdiqlangan tartibga rioya qilib o'tkazilgan mashqdan keyin oladi, jonli mashinada tezkor chora ko'rish o'rniga. Qadamlarni yozib qo'ying va boshqa birovga o'qib berishni so'rang. Agar ketma-ketlikni tugatish uchun xotirangiz kerak bo'lsa, bu reja emas.
Bitta o'zgarish, keyin baholanishi kerak bo'lgan ulanish
Ishlayotgan qoidalar to'plamini va unga egalik qiluvchi faylni saqlang, so'ng bitta tor tahrir qiling. Har bir sinovga bitta o'zgarish natijani bog'lash imkonini beradi; bir vaqtda ikkitasi ishlayotgan mashina va qaysi tahrir ish qilganini bilmaslikni qoldiradi. Platforma konfiguratsiyani yuklamasdan tahlil qila oladigan joyda avval shuni qiling, shunda yozuv xatosi hech narsa xavf ostida bo'lmaganda aniqlanadi.
nft list ruleset > /root/ruleset.before
nft -c -f /etc/nftables.confSo'ng konsol hali ulangan holda, o'zgartirilgan qoidaga mos keladigan manbadan yangi sessiya boshlang. Muvaffaqiyatli bo'lsa bir marta takrorlang, chunki birinchi urinish jadvalda allaqachon bo'lgan yozuvga tushishi mumkin. Muvaffaqiyatsiz bo'lsa, ichkariga kirish yo'li va qaytarib olinadigan qaror qoladi, va bu mavjud eng arzon yomon natijadir.
Hisoblagichlar, holat va fayl turli savollarga javob beradi
Uch kuzatuvning har biri yakka holda ishonarli ko'rinishi va qolgan ikkitasi haqida sizni chalg'itishi mumkin. Hisoblagichlar hozir yaratgan oqimingiz tahrir qilgan qoidaga yetganini ko'rsatadi. Holat jadvali mashina qaysi oqimlarni allaqachon o'rnatilgan deb hisoblashini ko'rsatadi, shu bilan buzilgan qoida ham sog'lom ko'rinishi mumkin. Saqlangan fayl qurilma keyingi qayta yuklashdan keyin nima qilishini ko'rsatadi va bu hozir ishlayotgan qoidalar to'plami qilayotgan narsa bo'lmasligi mumkin.
ss -tn state establishedHisoblagichlarni yig'indi emas, delta sifatida o'qing, chunki muhim bo'lgan yagona raqam sinov oqimingiz siljitgan raqamdir. Hisoblagichi hech qachon oshmaydigan qoida mos kelmaydi, qog'ozda qanchalik to'g'ri ko'rinmasin. Rad etish holatini ham tasdiqlang: hech qachon hech narsani rad etmagan siyosat siz bloklamoqchi bo'lgan narsani rad etishini hech qachon isbotlamagan. Joylashtirish haqiqatan olib yuradigan har bir oilada bitta interfeysdan o'ting, chunki v4 qoidasi v6 oqimi haqida hech narsa demaydi.
Saqlangan qoidalar to'plamidan tiklang, so'ng faylni moslang
O'zgarish muvaffaqiyatsiz bo'lsa, kirishlar yana ishlaguncha ruxsat beruvchi qoidalar qo'shish o'rniga saqlangan qoidalar to'plamini yuklang. Har bir qo'shimcha ruxsat alomatni tinchlantiradi va hodisadan hamda uning xotirasidan uzoq yashaydigan teshik qoldiradi. Tiklang, qayta ulaning, so'ng muvaffaqiyatsiz taqqoslashni nima sinab ko'rganingiz yozuvi yonida saqlang.
Muvaffaqiyatli o'zgarishdan keyin diskdagi fayl ishlayotgan qoidalar to'plamini tasvirlasin va qayta yuklash uni qayta hosil qilishini tasdiqlang. O'z konfiguratsiya faylidan uzoqlashgan jonli qoidalar to'plami keyingi qayta ishga tushirish uchun qo'yilgan tuzoqdir.