Порядок правил

Правило может быть правильным, но не иметь эффекта, если более раннее правило уже определяет соединение. Брандмауэр Lumen останавливается на первом совпадении.

Изучите эту учебную политику:

seclab machine demo-shop

Найдите эти строки:

firewall (first match wins, anything unmatched is blocked):
rule  action  port  from    note
1     allow   any   any
2     deny    22    office  never used: rule 1 decides first

Правило, разрешающее любые подключения, стоит первым. Запрет для администрации офиса ниже него никогда не срабатывает. Переместите существующее правило запрета перед ним:

seclab firewall demo-shop move 2 1

Вы должны увидеть:

Moved rule 2 on demo-shop to position 1. Rules are checked top down.

Снова проверьте порядок:

seclab machine demo-shop

Найдите эти строки:

firewall (first match wins, anything unmatched is blocked):
rule  action  port  from    note
1     deny    22    office
2     allow   any   any

Теперь правило запрета определяет, что делать с трафиком офиса на порт 22. Остальной трафик может перейти к следующему правилу. Изменение порядка исправляет эту политику без добавления ещё одной копии того же правила запрета.