UFW-toepassingprofiel ontbreek? Dit beskryf poorte, nie dienste nie

UFW sê hy kan nie 'n profiel vind wat by OpenSSH pas nie, en die soektog na 'n oorsaak lei reguit na die SSH-bediener. Dit is die verkeerde rigting: die boodskap gaan oor 'n benoemde firewall-definisie en sê niks oor of sshd geïnstalleer is, loop of luister nie. 'n UFW-toepassingprofiel is 'n lys poorte en protokolle met 'n etiket daarop. Om die definisie te lees neem een opdrag en beëindig gewoonlik die ondersoek.

Stap 1: lys die name wat UFW werklik ken

Vra die firewall watter name hy het voordat jy vra om een toe te laat. Die lys kom van die profiele wat op hierdie masjien geïnstalleer is, so 'n ontbrekende naam is 'n feit oor hierdie stelsel, nie oor die sagteware wat jy wou beskerm nie. As die naam daar is, kom die fout van 'n tikfout of 'n verouderde alias in jou dopgeskiedenis.

ufw app list
ufw app info OpenSSH

Die lys is kort op 'n standaardinstallasie, en die name is nie pakketname nie. 'n Profiel met die naam OpenSSH kan afwesig wees terwyl die openssh-server-pakket geïnstalleer is, en die omgekeerde is ook moontlik. Gebruik die presiese naam wat die lys druk; 'n VPN-profielnaam of 'n werkskermsnellader met soortgelyke spelling is nie 'n UFW-toepassingprofiel nie. As die naam wat jy wil hê ontbreek, is dit die bevinding, en die volgende stap is om te kyk wat dit moet verskaf.

Stap 2: lees die definisie, nie die etiket nie

'n Profiel is 'n INI-lêer onder /etc/ufw/applications.d, met 'n naam, 'n titel, 'n beskrywing en 'n poorteveld. Die poorteveld kan verskeie poorte en vervoer wys, so die etiket sê minder as wat die definisie sê. Die UFW-handboek dokumenteer hierdie velde en die opdrag om toepassings op te dateer. Lees die lêer eerder as om te aanvaar die naam beteken een bekende poort.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

'n Definisie met 22/tcp beskryf TCP-poort 22 en niks anders nie. Dit bewys nie dat die daemon op hierdie masjien daar luister nie, en dit dek nie 'n tweede poort wat jy later bygevoeg het nie. As die daemon elders loop, is die profiel die verkeerde toestemming selfs al pas sy naam by die produk. Vergelyk die luisteraar met die definisie voordat jy enigeen van hulle toelaat.

ss -ltnp 'sport = :22'

Stop as die definisie en die luisteraar verskil. Om 'n profiel toe te laat wat 'n poort noem waarop niemand luister nie, skep 'n reël wat soos vordering lyk en niks beskerm nie.

Stap 3: skei die profiel van die lopende diens

Om 'n benoemde profiel toe te laat, installeer, begin of stel nie die diens op nie, en 'n lopende diens het nie 'n verpakte profiel nodig om bereikbaar te wees nie. Dit is afsonderlike besluite wat deur verskillende gereedskap besit word: die pakketbestuurder, die diensbestuurder en die firewall. Om hulle as een te behandel, is hoe mense 'n ongewenste bediener installeer om 'n simboliese naam te laat verskyn.

Vir 'n VPN-bediener gaan die skeiding voort nadat die buitenste luisteraar toegelaat is. Toestemming vir die geënkripteerde vervoerpoort aktiveer nie kernaanstuur nie, voeg nie 'n NAT-reël by nie en gee nie tonnelgebruikers toegang tot 'n LAN nie. Elkeen daarvan is 'n afsonderlike beleid met sy eie hersiening. 'n Profiel wat na die VPN-produk vernoem is, beskryf net die poorte wat dit lys, en die res van die bedienerkonfigurasie is steeds joune om te skryf.

As die profiel ontbreek en jy het een nodig, is 'n nagegane eksplisiete poortreël of 'n plaaslike profiel onder applications.d albei regverdig. Om 'n pakket te installeer wat jy nie wou hê nie, is nie.

Stap 4: hou 'n pad terug voordat jy die firewall herlaai

Voordat jy enige reël verander, bevestig dat jy 'n tweede pad na die masjien het: 'n konsole, 'n buitebandadres of 'n geskeduleerde terugrol. Lees dan die reëlstel en die standaardbeleid, want 'n standaardweiering sonder 'n SSH-reël is die klassieke manier om jouself tydens toetsing uit te sluit. Verander een reël op 'n slag en lees die bevestiging wat UFW druk. 'n Gestoor reël, 'n aktiewe reël en 'n bereikbare diens is drie verskillende waarnemings.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Toets na die verandering die toegelate verbinding en een pad wat steeds geweier moet word. Die geweierde toets is net so belangrik soos die toegelate een, want 'n reël wat wyer is as bedoel, slaag die eerste toets en faal die tweede. Teken die profielnaam, die poorte wat dit bevat het en die luisteraar waarteen jy geverifieer het, aan.

Die kontrolelys eindig wanneer die naam bestaan of doelbewus vervang is, die definisie by die werklike luisteraar pas, die diens afsonderlik bestuur word, en jy beide 'n toegelate en 'n geweierde pad getoets het met 'n herstelroete in die hand. 'n Naam in die lys is nie een van daardie dinge nie.