# Beviste at utestengingen virker fra ende til annen ved hver herdingskjøring ved å utestenge en reservert testadresse, lese den resulterende kjerneregelen og oppheve utestengingen i en garantert oppryddingsblokk, slik at en jail som slutter å virke, får kjøringen til å feile i stedet for å melde at alt er i orden. september 2026 **Situasjon.** Tjenesten som blokkerer inntrengere, var allerede blitt tatt i å blokkere en port som SSH‑daemonen ikke lyttet på. Å rette porten lukket det ene tilfellet. Det gjorde ingenting med grunnen til at feilen overlevde så lenge, nemlig at blokkeringsveien ikke har noen synlig feiltilstand: tjenesten kjører, jailen står oppført som aktiv, og ingenting noe sted sier om en blokkering noen gang når frem til kjernen. **Oppgave.** Blokkeringsveien måtte prøves ved hver kjøring, mot det aktive regelsettet, i stedet for å bli utledet av at tjenesten var oppe. **Handling.** Kjøringen blokkerer nå en adresse fra blokken standardene reserverer for dokumentasjon, leser tilbake den resulterende regelen i kjernens pakkefilter og opphever blokkeringen i en oppryddingsblokk som kjører enten sjekken besto eller feilet. Det reserverte adresseområdet er det bærende valget — testadressen tilhører ingen, så en forvillet blokkering som overlever en mislykket kjøring, kan ikke stenge ute et virkelig nettverk. Tilbakelesingen fra kjernen er den andre halvdelen: tjenestens egen statusutdata ville meldt suksess for en blokkering som ikke ga noen regel, og det er nettopp den feilen det testes for. Ved siden av er backenden for blokkering låst fast i stedet for å overlates til tjenestens automatiske gjenkjenning, og backenden for logger er satt til automatisk gjenkjenning, fordi operativsystemet ikke leverer noen tradisjonell autentiseringslogg, og et feil valg svikter i det stille ved å overvåke en fil som aldri dukker opp. **Resultat.** En blokkeringsvei som slutter å virke, får nå kjøringen til å feile i stedet for å fortsette å melde at alt er friskt, og det var den eneste egenskapen som betydde noe. Det koster noen sekunder ved hver kjøring, og hver gang skrives og trekkes en brannmurregel tilbake i produksjon, noe som er et reelt inngrep i et levende system og ble akseptert fordi alternativet allerede hadde vist seg å være verre. --- - Rolle: Sikkerhetsingeniør - Kategorier: [Infrastruktur](https://engineer.company/nb/categories/infrastructure/), [Automatisering og CI/CD](https://engineer.company/nb/categories/automation/), [Pålitelighet og sikkerhetskopier](https://engineer.company/nb/categories/reliability/), [Linux og servere](https://engineer.company/nb/categories/linux/), [Sikkerhet](https://engineer.company/nb/categories/security/), [Testing og kvalitetssikring](https://engineer.company/nb/categories/testing/) - Tjenester: [Pålitelighet og overvåking](https://engineer.company/nb/services/site-reliability/), [Systemadministrasjon](https://engineer.company/nb/services/system-administration/), [Sikkerhet og tilgangsstyring](https://engineer.company/nb/services/security-access/)