nftables 변경 전 SSH 새 연결과 롤백을 확인하는 법

방화벽을 바꾼 뒤 현재 SSH 창이 살아 있다고 접근 정책이 안전한 것은 아닙니다. established 연결을 허용하는 규칙은 이미 연결된 세션을 살려 두면서 새 연결을 막을 수 있습니다. 성공 기준에는 독립적인 새 SSH 접속이 들어가야 합니다.

적용 전에 준비할 두 경로

먼저 원격 콘솔처럼 방화벽 영향 밖의 복구 경로를 실제로 사용할 수 있는지 확인합니다. 다음으로 현재 규칙과 관리 주체를 보관합니다. Docker·Tailscale·firewalld가 규칙을 함께 관리한다면 호스트 전체 ruleset을 과거 스냅샷으로 덮는 롤백은 그 사이 생긴 변경을 없앨 수 있습니다. 자신의 테이블과 변경 범위를 구분해야 합니다.

nft --version
sudo nft list ruleset
sudo nft -c -f reviewed-change.nft

reviewed-change.nft는 사전에 검토한 자신의 변경 파일입니다. -c는 적용 전 검사이며 새 SSH 접속 성공을 보장하지 않습니다. 규칙 출력에는 내부 주소가 있으므로 공개 전에 정제합니다. 원자적 규칙 적용 문서의 -f는 중간 상태를 줄이는 방법이지 최종 정책의 접근 가능성을 증명하는 기능이 아닙니다.

자동 복원 예약도 사전 검증이 필요하다

지연 롤백을 쓴다면 실행 계정·복원 파일·실행 시각·취소 방법을 기록하고 테스트 환경에서 먼저 검증합니다. 현재 SSH 셸에만 매달린 sleep 명령은 연결 종료 후 실행을 보장하지 않습니다. 변경 직후 기존 창을 닫지 말고 별도 클라이언트에서 관리 경로의 새 연결과 필요한 서비스 접근을 확인한 뒤 복원 예약을 취소합니다.

새 연결이 실패하면 추가 규칙을 즉흥적으로 쌓지 말고 준비한 복구 경로로 돌아갑니다. IPv4·IPv6·클라우드 보안 규칙은 서로 다른 경계일 수 있습니다. 이 글에서는 안전한 판단 순서를 문서로 검토했으며 실제 접근 차단이나 복원 성공을 실험하지 않았습니다.