Главная ошибка - проверить firewall сразу после настройки и не проверить его после перезапуска сервиса или машины. Для операционного контура важна воспроизводимость.
Debian/Ubuntu
Для классического iptables-подхода обычно используют пакет iptables-persistent или netfilter-persistent. Он хранит правила в файлах и восстанавливает их при старте.
iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6
systemctl status netfilter-persistentПроверка после сохранения
- Сохраните IPv4 и IPv6 отдельно, если IPv6 не отключен полностью.
- Перезапустите сервис восстановления правил и сравните текущий ruleset.
- Проверьте доступ извне: SSH, HTTP(S), healthcheck, monitoring и backup agent.
- Держите out-of-band доступ или rollback-команду перед изменениями на удаленном сервере.
Когда лучше nftables
На новых системах стоит заранее решить, какой стек является каноничным: iptables-legacy, iptables-nft или nftables. Смешивание подходов усложняет диагностику и дает ложное ощущение, что правило применилось.