ملف تطبيق UFW مفقود؟ إنه يصف المنافذ لا الخدمات

يقول UFW إنه لا يجد ملفًا مطابقًا لـ OpenSSH، ويذهب البحث عن السبب مباشرة إلى خادم SSH. هذا اتجاه خاطئ: الرسالة تتعلق بتعريف جدار حماية مُسمّى، ولا تقول شيئًا عن كون sshd مثبتًا أو يعمل أو يستمع. ملف تطبيق UFW هو قائمة منافذ وبروتوكولات تحمل اسمًا. قراءة التعريف تحتاج أمرًا واحدًا وعادةً ما تُنهي التحقيق.

الخطوة 1: اسرد الأسماء التي يعرفها UFW فعليًا

اسأل جدار الحماية عن الأسماء التي لديه قبل أن تطلب منه السماح بأحدها. تأتي القائمة من ملفات التعريف المثبتة على هذا الجهاز، لذا فإن الاسم المفقود حقيقة عن هذا النظام لا عن البرنامج الذي كنت تحاول حمايته. إذا كان الاسم موجودًا، فجاء الخطأ من خطأ مطبعي أو اسم مستعار قديم في سجل الطرفية.

ufw app list
ufw app info OpenSSH

القائمة قصيرة في التثبيت الافتراضي، والأسماء ليست أسماء حزم. قد يغيب ملف تعريف باسم OpenSSH بينما تكون حزمة openssh-server مثبتة، والعكس ممكن أيضًا. استخدم الاسم الدقيق الذي تطبعه القائمة؛ فاسم ملف تعريف VPN أو مشغّل سطح مكتب بكتابة مشابهة ليس ملف تطبيق UFW. إذا كان الاسم الذي تريده مفقودًا، فهذه هي النتيجة، والخطوة التالية هي النظر في ما ينبغي أن يوفره.

الخطوة 2: اقرأ التعريف، لا الاسم

ملف التعريف هو ملف بنمط INI تحت /etc/ufw/applications.d، يحتوي على اسم وعنوان ووصف وحقل منافذ. يمكن لحقل المنافذ أن يسرد عدة منافذ ونواقل، لذا فإن الاسم يخبرك بأقل مما يخبرك به التعريف. يوثّق دليل UFW هذه الحقول وعملية تحديث التطبيقات. اقرأ الملف بدلًا من افتراض أن الاسم يعني منفذًا مألوفًا واحدًا.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

التعريف الذي يحتوي على 22/tcp يصف منفذ TCP رقم 22 ولا شيء غيره. لا يثبت أن الخدمة على هذا الجهاز تستمع هناك، ولا يغطي منفذًا ثانيًا أضفته لاحقًا. إذا كانت الخدمة تعمل في مكان آخر، فملف التعريف هو الإذن الخطأ رغم أن اسمه يطابق المنتج. قارن المستمع بالتعريف قبل أن تسمح بأي منهما.

ss -ltnp 'sport = :22'

توقف إذا اختلف التعريف والمستمع. السماح بملف تعريف يسمّي منفذًا لا يستمع إليه أحد ينشئ قاعدة تبدو كتقدّم ولا تحمي شيئًا.

الخطوة 3: افصل ملف التعريف عن الخدمة العاملة

السماح بملف تعريف مُسمّى لا يثبّت الخدمة ولا يبدأها ولا يضبطها، والخدمة العاملة لا تحتاج ملف تعريف محزومًا لتكون قابلة للوصول. هذه قرارات منفصلة تملكها أدوات مختلفة: مدير الحزم ومدير الخدمات وجدار الحماية. معاملتها كأنها شيء واحد هي طريقة الناس لتثبيت خادم غير مرغوب فيه كي يظهر اسم رمزي.

بالنسبة لخادم VPN يستمر الفصل بعد السماح بالمستمع الخارجي. الإذن بمنفذ النقل المشفّر لا يفعّل إعادة توجيه النواة، ولا يضيف قاعدة NAT، ولا يمنح مستخدمي النفق الوصول إلى LAN. كل واحد من ذلك سياسة منفصلة بمراجعتها الخاصة. ملف التعريف المسمّى على اسم منتج VPN يصف فقط المنافذ التي يسردها، وبقية إعداد الخادم لا تزال مسؤوليتك في الكتابة.

إذا كان ملف التعريف مفقودًا وتحتاج إلى واحد، فقاعدة منفذ صريحة تمت مراجعتها أو ملف تعريف محلي تحت applications.d كلاهما مشروع. تثبيت حزمة لم تردها ليس كذلك.

الخطوة 4: احتفظ بطريق للعودة قبل إعادة تحميل جدار الحماية

قبل أي تغيير في القواعد، تأكد من وجود طريق ثانٍ إلى الجهاز: طرفية أو عنوان خارج النطاق أو تراجع مجدول. ثم اقرأ مجموعة القواعد والسياسة الافتراضية، لأن الرفض الافتراضي دون قاعدة SSH هو الطريقة الكلاسيكية لحبس نفسك خارج الجهاز أثناء الاختبار. غيّر قاعدة واحدة في كل مرة واقرأ التأكيد الذي يطبعه UFW. القاعدة المحفوظة والقاعدة النشطة والخدمة القابلة للوصول ثلاث ملاحظات مختلفة.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

بعد التغيير، اختبر الاتصال المسموح به ومسارًا واحدًا يجب أن يظل مرفوضًا. اختبار الرفض لا يقل أهمية عن اختبار السماح، لأن قاعدة أوسع من المقصود تنجح في الاختبار الأول وتفشل في الثاني. سجّل اسم ملف التعريف والمنافذ التي احتواها والمستمع الذي تحققت مقابله.

تنتهي قائمة التحقق عندما يوجد الاسم أو يُستبدل عمدًا، ويطابق التعريف المستمع الحقيقي، وتُدار الخدمة بشكل منفصل، وتكون قد اختبرت مسارًا مسموحًا ومسارًا مرفوضًا مع وجود طريق للاستعادة. وجود اسم في القائمة ليس أيًا من ذلك.