Verifiserte brannmurregler etter plassering

Situasjon. En statusoversikt fra brannmuren viser et sett med regler. Et pakkefilter evaluerer en ordnet liste og stopper ved første treff. Det er to forskjellige ting, og forskjellen er usynlig i alle verktøy som skriver ut et sammendrag — og det var slik verten gikk i et år med en hastighetsbegrensning som ingen pakke noen gang nådde, plassert under en bredere regel som slo til først.

Oppgave. Verifiseringen av brannmuren måtte lese posisjon, ikke medlemskap, fordi det allerede var vist at tilstedeværelse ikke beviste noe.

Handling. Sjekkene leser nå den nummererte regeloversikten og den levende filterkjeden og kontrollerer mot rekkefølgen. Det finnes nøyaktig én regel per port, og alltid med protokoll, fordi en regel uten protokoll utvider flaten i det stille. SSH‑porten har en hastighetsbegrensning og aldri en allow‑regel ved siden av, siden en allow‑regel over en begrensning er nettopp den skyggingen som ble funnet. Den deklarerte offentlige flaten er en kort liste med fem porter, kontrollert som en helhet og ikke enkeltvis, slik at en port som dukker opp uten å være deklarert, får sjekken til å feile i stedet for å måtte bli oppdaget. Sikkerhetsrapporten viser reglene i treffrekkefølge, med en advarsel øverst i seksjonen som forklarer hvordan den skal leses, fordi den neste som åpner filen, ellers vil lese den som et sett.

Resultat. Brannmuroppsettet sjekkes nå slik en pakke opplever det. Det nyttigste utbyttet var ikke sjekken, men det den avslørte om rapporteringen før den: alle verktøyene som var involvert, hadde skrevet ut hastighetsbegrensningen i et år, helt korrekt, og ingen av dem hadde fått det eneste spørsmålet som betydde noe.