Ich habe eine Firewall-Regel geschrieben und nichts passiert: der dreistufige Schalter

Du hast die Regel geschrieben, gespeichert, und nichts hat sich geändert. Der Verkehr läuft weiter, oder das, was du sperren wolltest, wurde nicht gesperrt. Nicht weil die Regel falsch ist, sondern weil die Ebene, in der die Regel liegt, ausgeschaltet ist.

Drei Ebenen, alle drei zugleich

Die Firewall wird nicht an einer Stelle eingeschaltet. Sie hat drei Ebenen, und jede hat ihren eigenen Schalter: oben die Cluster-Ebene, in der Mitte die Knoten-Ebene, unten die Netzwerkschnittstelle der Maschine. Eine Regel wirkt nur, wenn die ganze Kette an ist. Eine makellose, an der Maschine geschriebene Regel tut nichts, solange der Schalter darüber aus ist, und sie warnt auch nicht.

Die Diagnose läuft deshalb von oben nach unten: ist der oberste Schalter an, dann der Knoten, dann die Maschine. Unten anzufangen kostet Zeit.

Der zweite Schalter auf Maschinenebene

Auf Seiten der Maschine sitzt der Schalter nicht an der Maschine selbst, sondern an der Netzwerkschnittstelle. Die Firewall für die Maschine einzuschalten, aber nicht an der Schnittstelle, oder umgekehrt, lässt die Regel weiterhin wirkungslos. Weil das zwei verschiedene Stellen sind, wird es oft übersehen.

Die Frage der Richtung

Regeln werden aus der Sicht der Maschine geschrieben. Eingehend und ausgehend sind nicht dieselbe Regel, und welche Seite als "hinein" gilt, hängt zudem von der Ebene ab, auf der du bist. Der gewöhnlichste Grund, warum eine Regel nie greift, ist, dass sie für die falsche Richtung geschrieben wurde.

Auch die Reihenfolge ist eine Regel

Regeln werden von oben nach unten gelesen, und die erste Übereinstimmung gewinnt. Eine enge Verbotsregel unterhalb einer breiten Erlaubnisregel wird nie gelesen. Eine Regelliste ist keine Menge, sie ist eine Reihenfolge.

Die Angst, die alle aufhält

Den obersten Schalter einzuschalten macht Menschen Angst, denn in dem Moment könnten sie das Panel verlieren und ihn nie wieder einschalten. Diese Angst ist nicht unbegründet: das Standardverhalten und die Frage, ob dein Verwaltungszugang durch eine Regel geschützt ist, entscheiden hier. Die richtige Reihenfolge ist, zuerst die Regel zu schreiben, die den Verwaltungszugang offen hält, und danach den Schalter umzulegen. Andersherum gemacht, rührt jemand, der sich einmal ausgesperrt hat, diesen Schalter nie wieder an, und die Maschine bleibt jahrelang ungeschützt.

Erkennen, ob eine Regel wirkt

Die nützlichste Gewohnheit ist, ins Protokoll zu sehen. Greift eine Regel, hinterlässt sie eine Spur; erscheint nichts, ist entweder die Kette aus oder die Regel greift nicht. Hinsehen statt raten spart hier am meisten Zeit.

Es gibt zwei Firewalls, sieh dir beide an

Das eigene Betriebssystem der virtuellen Maschine kann ebenfalls eine Firewall betreiben. Ein innerhalb der Maschine geblocktes Paket taucht im Protokoll auf Serverseite nie auf. Das ist die häufigste Antwort auf "auf dem Server ist alles offen, aber ich komme nicht rein".

Was Atlas tut

Atlas listet die Regeln der Knotenebene auf einem einzigen Bildschirm. Über der Regelliste steht ein eigener Streifen mit dem Zustand der Kette: er sagt, ob die Regeln gerade greifen. Die Liste allein sagt "es gibt eine Regel", nicht "die Regel wirkt"; der Streifen sagt genau diesen Unterschied.

Die Möglichkeit, den Schalter von diesem Streifen aus einzuschalten, wurde bewusst weggelassen. Wird der oberste Schalter ohne eine Regel eingeschaltet, die den Verwaltungszugang schützt, kann das Panel verloren gehen; Zeigen und Schalten sind getrennte Aufgaben.

Regeln lassen sich einzeln ein- und ausschalten, du kannst die Wirkung einer Regel also prüfen, ohne sie zu löschen.