Ik schreef een firewallregel en er gebeurt niets: de schakelaar met drie niveaus

Je schreef de regel, sloeg hem op, en er veranderde niets. Het verkeer gaat nog steeds door, of wat je wilde blokkeren is niet geblokkeerd. Niet omdat de regel fout is, maar omdat de laag waarin de regel zit uit staat.

Drie niveaus, alle drie tegelijk

De firewall wordt niet op één plek aangezet. Hij heeft drie niveaus, en elk heeft zijn eigen schakelaar: het clusterniveau bovenaan, het knooppuntniveau in het midden, de netwerkinterface van de machine onderaan. Een regel werkt alleen als de hele keten aan staat. Een vlekkeloze regel geschreven op de machine doet niets zolang de schakelaar erboven uit staat, en hij waarschuwt ook niet.

Daarom loopt de diagnose van boven naar beneden: staat de bovenste schakelaar aan, dan het knooppunt, dan de machine. Onderaan beginnen kost tijd.

De tweede schakelaar op machineniveau

Aan de kant van de machine zit de schakelaar niet op de machine zelf, maar op de netwerkinterface. De firewall voor de machine aanzetten maar niet op de interface, of andersom, laat de regel evengoed werkeloos. Omdat het twee verschillende plekken zijn, wordt het vaak overgeslagen.

De kwestie van de richting

Regels worden geschreven vanuit het gezichtspunt van de machine. Inkomend en uitgaand zijn niet dezelfde regel, en welke kant als "in" telt hangt bovendien af van het niveau waar je bent. De meest alledaagse reden dat een regel nooit matcht, is dat hij voor de verkeerde richting is geschreven.

Volgorde is ook een regel

Regels worden van boven naar beneden gelezen en de eerste treffer wint. Een smalle weigerregel onder een brede toestaanregel wordt nooit gelezen. Een regellijst is geen verzameling, het is een volgorde.

De angst die iedereen tegenhoudt

De bovenste schakelaar aanzetten maakt mensen bang, want op dat moment kunnen ze het paneel kwijtraken en hem nooit meer aanzetten. Die angst is niet ongegrond: het standaardgedrag, en of je beheertoegang door een regel wordt beschermd, geeft hier de doorslag. De juiste volgorde is eerst de regel schrijven die de beheertoegang open houdt, en daarna de schakelaar omzetten. Andersom gedaan raakt iemand die zich één keer buitensluit die schakelaar nooit meer aan, en blijft de machine jarenlang onbeschermd.

Weten of een regel werkt

De nuttigste gewoonte is in het logboek kijken. Matcht een regel, dan laat hij een spoor na; verschijnt er niets, dan staat óf de keten uit óf de regel matcht niet. Kijken in plaats van gissen levert hier de meeste tijdwinst op.

Er zijn twee firewalls, kijk naar allebei

Het besturingssysteem van de virtuele machine kan zelf ook een firewall draaien. Een pakket dat binnen de machine wordt geblokkeerd, verschijnt nooit in het logboek aan de serverkant. Dat is het meest voorkomende antwoord op "op de server staat alles open maar ik kom er niet in".

Wat Atlas doet

Atlas toont de regels van het knooppuntniveau op één scherm. Boven de regellijst staat een aparte strook met de toestand van de keten: hij zegt of de regels op dit moment werken. De lijst alleen zegt "er is een regel", niet "de regel werkt"; de strook zegt precies dat verschil.

De mogelijkheid om de schakelaar vanuit die strook aan te zetten is bewust weggelaten. Wordt de bovenste schakelaar aangezet zonder een regel die de beheertoegang beschermt, dan kan het paneel verloren gaan; tonen en schakelen zijn aparte klussen.

Regels kunnen stuk voor stuk aan en uit, zodat je het effect van een regel kunt beproeven zonder hem te verwijderen.