Har bevist, at blokeringen virker ved hver kørsel

Situation. Tjenesten, der blokerer indtrængningsforsøg, var allerede blevet grebet i at blokere en port, som SSH‑dæmonen ikke lyttede på. At rette porten lukkede det tilfælde. Det gjorde intet ved grunden til, at fejlen overlevede så længe, nemlig at en blokeringsvej ikke fejler synligt: tjenesten kører, jailen står som aktiv, og der er ikke noget sted, der viser, om en blokering nogensinde når kernen.

Opgave. Blokeringsvejen skulle afprøves mod det aktive regelsæt ved hver konvergering i stedet for at blive udledt af, at tjenesten var oppe.

Handling. Konvergeringen blokerer nu en adresse fra den blok, standarderne reserverer til dokumentation, læser den resulterende regel tilbage i kernens pakkefilter og ophæver blokeringen i en oprydningsblok, der kører, uanset om tjekket bestod eller fejlede. Det reserverede område er det bærende valg — testadressen tilhører ingen, så en efterladt blokering, der overlever en fejlet kørsel, ikke kan lukke et rigtigt netværk ude. Tilbagelæsningen fra kernen er den anden halvdel: tjenestens egen statusudskrift ville rapportere succes for en blokering, der ikke frembragte nogen regel, hvilket er præcis den fejl, der testes for. Derudover er blokeringsbackenden fastlåst i stedet for at blive overladt til tjenestens egen detektion, og logbackenden er sat til detektion, fordi styresystemet ikke leverer nogen traditionel autentificeringslog, og det forkerte valg fejler tavst ved at holde øje med en fil, der aldrig dukker op.

Resultat. En blokeringsvej, der holder op med at virke, får nu en konvergering til at fejle i stedet for at blive ved med at melde, at alt er i orden, hvilket var den eneste egenskab, der betød noget. Det koster nogle få sekunder ved hver kørsel, og hver gang bliver en firewallregel skrevet i produktion og trukket tilbage igen, hvilket er et reelt indgreb i et system i drift og blev accepteret med den begrundelse, at alternativet allerede havde vist sig at være værre.