Napisałem regułę zapory i nic się nie dzieje: przełącznik na trzech poziomach

Napisałeś regułę, zapisałeś ją i nic się nie zmieniło. Ruch nadal przechodzi albo to, co chciałeś zablokować, nie zostało zablokowane. Nie dlatego, że reguła jest zła, tylko dlatego, że warstwa, w której siedzi, jest wyłączona.

Trzy poziomy, wszystkie trzy naraz

Zapory nie włącza się w jednym miejscu. Ma trzy poziomy i każdy ma własny przełącznik: poziom klastra na górze, poziom węzła w środku, interfejs sieciowy maszyny na dole. Reguła działa dopiero wtedy, gdy cały łańcuch jest włączony. Bezbłędna reguła napisana na maszynie nic nie robi, gdy przełącznik nad nią jest wyłączony, i nie daje też żadnego ostrzeżenia.

Rozpoznanie idzie więc z góry na dół: czy górny przełącznik jest włączony, potem węzeł, potem maszyna. Zaczynanie od dołu kosztuje czas.

Drugi przełącznik na poziomie maszyny

Po stronie maszyny przełącznik nie siedzi na samej maszynie, tylko na interfejsie sieciowym. Włączenie zapory dla maszyny, ale nie dla interfejsu, albo odwrotnie, i tak zostawia regułę bezczynną. Ponieważ są to dwa różne miejsca, często się to pomija.

Kwestia kierunku

Reguły pisze się z punktu widzenia maszyny. Przychodzące i wychodzące to nie ta sama reguła, a to, która strona liczy się jako do wewnątrz, zależy też od tego, na którym poziomie jesteś. Najzwyklejszym powodem, dla którego reguła nigdy nie pasuje, jest napisanie jej dla złego kierunku.

Kolejność też jest regułą

Reguły czyta się z góry na dół i wygrywa pierwsze dopasowanie. Wąska reguła blokująca napisana pod szeroką regułą zezwalającą nigdy nie zostaje przeczytana. Lista reguł nie jest zbiorem, tylko sekwencją.

Obawa, która wszystkich powstrzymuje

Włączenie górnego przełącznika przeraża ludzi, bo w tej samej chwili mogą stracić panel i już nigdy go nie włączą. Ta obawa nie jest bezpodstawna: decyduje tu domyślne zachowanie i to, czy twój dostęp zarządczy jest chroniony regułą. Właściwą kolejnością jest najpierw napisanie reguły utrzymującej dostęp zarządczy otwartym, a dopiero potem włączenie przełącznika. Zrobione odwrotnie sprawia, że kto raz się odetnie, już nigdy nie dotknie tego przełącznika, a maszyna zostaje bez ochrony na lata.

Jak sprawdzić, czy reguła działa

Najprzydatniejszym nawykiem jest zajrzenie do dziennika. Jeśli reguła pasuje, zostawia ślad; jeśli nic się nie pojawia, albo łańcuch jest wyłączony, albo reguła nie pasuje. Patrzenie zamiast zgadywania oszczędza tu najwięcej czasu.

Są dwie zapory, spójrz na obie

System operacyjny samej maszyny wirtualnej też może mieć uruchomioną zaporę. Pakiet zablokowany wewnątrz maszyny nigdy nie pojawia się w dzienniku po stronie serwera. To najczęstsza odpowiedź na zdanie, że na serwerze wszystko jest otwarte, a połączyć się nie da.

Co robi Atlas

Atlas wypisuje reguły poziomu węzła na jednym ekranie. Nad listą reguł stoi osobny pasek ze stanem łańcucha: mówi, czy reguły są w tej chwili skuteczne. Sama lista mówi, że reguła istnieje, a nie że reguła działa; pasek mówi dokładnie tę różnicę.

Możliwość włączenia przełącznika z tego paska świadomie pominięto. Jeśli górny przełącznik zostanie włączony bez reguły chroniącej dostęp zarządczy, można stracić panel; pokazywanie i przełączanie to osobne prace.

Reguły da się włączać i wyłączać pojedynczo, więc możesz sprawdzić, co robi reguła, bez jej kasowania.