Написал правило межсетевого экрана, и ничего не происходит: выключатель в трёх уровнях

Вы написали правило, сохранили, и ничего не изменилось. Трафик по-прежнему идёт, или то, что вы хотели закрыть, не закрылось. Не потому, что правило неверное, а потому, что уровень, на котором оно лежит, выключен.

Три уровня, все три сразу

Межсетевой экран включается не в одном месте. У него три уровня, и у каждого свой выключатель: уровень кластера сверху, уровень узла посередине, сетевой интерфейс машины снизу. Правило работает только тогда, когда включена вся цепочка. Безупречное правило, написанное на машине, не делает ничего, пока выключатель над ним выключен, и никакого предупреждения при этом нет.

Поэтому диагностика идёт сверху вниз: включён ли верхний выключатель, потом узел, потом машина. Начинать снизу, значит терять время.

Второй выключатель на уровне машины

Со стороны машины выключатель стоит не на самой машине, а на сетевом интерфейсе. Включить экран для машины, но не на интерфейсе, или наоборот, оставляет правило столь же бездейственным. Поскольку это два разных места, шаг часто пропускают.

Вопрос направления

Правила пишутся с точки зрения машины. Входящее и исходящее, это не одно и то же правило, а какая сторона считается «входящей», зависит ещё и от уровня, на котором вы находитесь. Самая обыденная причина, по которой правило никогда не срабатывает, в том, что оно написано не в ту сторону.

Порядок тоже правило

Правила читаются сверху вниз, и побеждает первое совпадение. Узкое запрещающее правило, написанное под широким разрешающим, не читается никогда. Список правил, это не множество, а последовательность.

Страх, который останавливает всех

Включить верхний выключатель страшно, потому что в этот момент можно потерять панель и больше никогда его не включить. Страх не беспочвенный: здесь решают поведение по умолчанию и то, защищён ли ваш управляющий доступ отдельным правилом. Правильный порядок, сначала написать правило, оставляющее управляющий доступ открытым, и только потом включать выключатель. Сделанное наоборот приводит к тому, что запершийся однажды человек больше не трогает этот выключатель, и машина годами стоит без защиты.

Как понять, работает ли правило

Самая полезная привычка, смотреть в журнал. Если правило срабатывает, оно оставляет след; если ничего не появляется, значит либо цепочка выключена, либо правило не совпадает. Посмотреть вместо того, чтобы гадать, здесь экономит больше всего времени.

Межсетевых экранов два, смотрите на оба

Собственная операционная система виртуальной машины тоже может держать межсетевой экран. Пакет, заблокированный внутри машины, никогда не появится в журнале на стороне сервера. Это самый частый ответ на «на сервере всё открыто, но я не могу подключиться».

Что делает Atlas

Atlas выводит правила уровня узла на одном экране. Над списком правил стоит отдельная полоса с состоянием цепочки: она говорит, действуют ли правила прямо сейчас. Список сам по себе говорит «правило есть», а не «правило работает»; полоса говорит ровно эту разницу.

Возможность включить выключатель прямо из этой полосы намеренно не сделана. Если верхний выключатель включить без правила, защищающего управляющий доступ, панель можно потерять; показывать и включать, это разные задачи.

Правила включаются и выключаются по одному, так что действие правила можно проверить, не удаляя его.