Megírt tűzfalszabály, mégsem történik semmi: a három szintű kapcsoló

A szabály megvan, a mentés megtörtént, mégsem változott semmi. A forgalom továbbra is átmegy, vagy a letiltani kívánt dolog nem lett letiltva. Nem azért, mert a szabály hibás, hanem azért, mert az a réteg, amelyben a szabály ül, ki van kapcsolva.

Három szint, mind a három egyszerre

A tűzfal nem egyetlen helyen kapcsolható be. Három szintje van, és mindegyiknek saját kapcsolója: legfelül a fürt szintje, középen a csomópont szintje, legalul a gép hálózati csatolója. A szabály csak akkor működik, ha a teljes lánc be van kapcsolva. A gépen megírt hibátlan szabály semmit nem tesz, amíg a fölötte lévő kapcsoló ki van kapcsolva, és figyelmeztetés sem érkezik róla.

A hibakeresés ezért fentről lefelé halad: be van-e kapcsolva a felső kapcsoló, aztán a csomópont, aztán a gép. Az alulról indulás időbe kerül.

A második kapcsoló a gép szintjén

A gép oldalán a kapcsoló nem magán a gépen ül, hanem a hálózati csatolón. Ha a tűzfal a gépen be van kapcsolva, a csatolón viszont nincs, vagy fordítva, a szabály akkor is tétlen marad. Mivel ez két különböző hely, gyakran kimarad.

Az irány kérdése

A szabályok a gép nézőpontjából íródnak. A bejövő és a kimenő nem ugyanaz a szabály, és az is a szinttől függ, hogy melyik oldal számít bejövőnek. A leghétköznapibb oka annak, hogy egy szabály sosem illeszkedik, az, hogy rossz irányra készült.

A sorrend is szabály

A szabályok fentről lefelé olvasódnak, és az első illeszkedés nyer. A tág engedélyező szabály alá írt szűk tiltó szabály sosem kerül sorra. A szabálylista nem halmaz, hanem sorozat.

A félelem, amely mindenkit megállít

A felső kapcsoló bekapcsolása sokakat megijeszt, mert abban a pillanatban elveszhet a panel, és utána soha többé nem kerül bekapcsolásra. A félelem nem alaptalan: itt az alapértelmezett viselkedés dönt, és az, hogy a felügyeleti hozzáférést védi-e szabály. A helyes sorrend az, hogy előbb elkészül a felügyeleti hozzáférést nyitva tartó szabály, és csak utána következik a kapcsoló. Fordított sorrendben az, aki egyszer kizárta magát, többé hozzá sem nyúl ehhez a kapcsolóhoz, és a gép évekig védtelen marad.

Annak megállapítása, hogy egy szabály működik-e

A leghasznosabb szokás a napló megnézése. Ha egy szabály illeszkedik, nyomot hagy; ha semmi nem jelenik meg, akkor vagy a lánc van kikapcsolva, vagy a szabály nem illeszkedik. A találgatás helyett a megnézés spórolja meg itt a legtöbb időt.

Két tűzfal van, mindkettőt érdemes megnézni

A virtuális gép saját operációs rendszere is futtathat tűzfalat. A gépen belül eldobott csomag a szerveroldali naplóban meg sem jelenik. Ez a leggyakoribb válasz arra, hogy "a szerveren minden nyitva van, mégsem lehet csatlakozni".

Mit csinál az Atlas

Az Atlas a fürt, a csomópont és a gép szintjének szabályait ugyanazon a képernyőn mutatja, így a lánc végigjárásához nem kell három külön helyet felkeresni. A szabálylista fölött külön sáv ül a lánc állapotával: azt mondja meg, hogy a szabályok éppen most érvényben vannak-e. A lista önmagában azt mondja, hogy "van szabály", nem azt, hogy "a szabály működik"; a sáv pontosan ezt a különbséget mondja ki.

A kapcsoló bekapcsolása erről a sávról szándékosan kimaradt. Ha a felső kapcsoló a felügyeleti hozzáférést védő szabály nélkül kapcsolódik be, a panel elveszhet; a megmutatás és a kapcsolás két külön feladat.

A csomópont tűzfalnaplója ugyanitt található, így az "illeszkedik-e a szabály" kérdésre a bejegyzés elolvasása válaszol, nem a találgatás. A szabályok egyenként kapcsolhatók be és ki, így egy szabály hatása törlés nélkül is kipróbálható.