UFW tətbiq profili yoxdur? O, xidmətləri deyil, portları təsvir edir

UFW OpenSSH-a uyğun profil tapa bilmədiyini deyir və səbəb axtarışı birbaşa SSH serverinə yönəlir. Bu yanlış istiqamətdir: mesaj adlandırılmış firewall tərifinə aiddir və sshd-nin quraşdırıldığına, işlədiyinə və ya dinlədiyinə dair heç nə demir. UFW tətbiq profili üzərində etiket olan port və protokol siyahısıdır. Tərifi oxumaq bir əmr çəkir və adətən araşdırmanı bitirir.

Addım 1: UFW-nin həqiqətən bildiyi adları sadalayın

Firewalldan birinə icazə verməsini istəməzdən əvvəl hansı adlara sahib olduğunu soruşun. Siyahı bu maşında quraşdırılmış profillərdən gəlir, ona görə də çatışmayan ad bu sistemə aid faktdır, qorumağa çalışdığınız proqrama deyil. Əgər ad varsa, xəta yazı səhvindən və ya shell tarixçənizdəki köhnə ləqəbdən gəlib.

ufw app list
ufw app info OpenSSH

Siyahı standart quraşdırmada qısadır və adlar paket adları deyil. openssh-server paketi quraşdırılmış halda OpenSSH adlı profil yox ola bilər və əksi də mümkündür. Siyahının çap etdiyi dəqiq addan istifadə edin; oxşar yazılışlı VPN profil adı və ya masaüstü başladıcısı UFW tətbiq profili deyil. İstədiyiniz ad yoxdursa, tapıntı budur və növbəti addım onu nəyin təmin etməli olduğuna baxmaqdır.

Addım 2: etiketi deyil, tərifi oxuyun

Profil /etc/ufw/applications.d altında INI üslublu fayldır və ad, başlıq, təsvir və portlar sahəsi var. Portlar sahəsi bir neçə port və nəqliyyat saya bilər, ona görə etiket tərifin dediyindən azını deyir. UFW təlimatı bu sahələri və tətbiq yeniləmə əməliyyatını sənədləşdirir. Adın bir tanış portu ifadə etdiyini güman etmək əvəzinə faylı oxuyun.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

İçində 22/tcp olan tərif TCP 22 portunu və başqa heç nəyi təsvir etmir. Bu, bu maşındaki demonun orada dinlədiyini sübut etmir və sonradan əlavə etdiyiniz ikinci portu əhatə etmir. Demon başqa yerdə işləyirsə, adı məhsula uyğun olsa da, profil yanlış icazədir. Onlardan hər hansına icazə verməzdən əvvəl dinləyicini təriflə müqayisə edin.

ss -ltnp 'sport = :22'

Tərif və dinləyici uzlaşmırsa, dayanın. Heç kimin dinləmədiyi portu adlandıran profilə icazə vermək tərəqqi kimi görünən və heç nəyi qorumayan qayda yaradır.

Addım 3: profili işləyən xidmətdən ayırın

Adlandırılmış profilə icazə vermək xidməti quraşdırmır, başlatmır və ya konfiqurasiya etmir və işləyən xidmətin əlçatan olmaq üçün paketlənmiş profilə ehtiyacı yoxdur. Bunlar müxtəlif alətlərə aid ayrı qərarlardır: paket meneceri, xidmət meneceri və firewall. Onları bir hesab etmək insanların simvolik ad görünməsi üçün istəmədikləri serveri quraşdırma yoludur.

VPN serveri üçün ayrılma xarici dinləyiciyə icazə verildikdən sonra da davam edir. Şifrələnmiş nəqliyyat portuna icazə kernel yönləndirməsini aktivləşdirmir, NAT qaydası əlavə etmir və tunel istifadəçilərinə LAN-a çıxış vermir. Bunların hər biri öz yoxlaması olan ayrı siyasətdir. VPN məhsulunun adını daşıyan profil yalnız sadaladığı portları təsvir edir və server konfiqurasiyasının qalan hissəsi hələ də sizin yazmağınızdadır.

Profil yoxdursa və birinə ehtiyacınız varsa, yoxlanılmış açıq port qaydası və ya applications.d altında yerli profil hər ikisi qanunidir. İstəmədiyiniz paketi quraşdırmaq belə deyil.

Addım 4: firewallu yenidən yükləməzdən əvvəl geri yol saxlayın

Hər hansı qayda dəyişikliyindən əvvəl maşına ikinci yolunuz olduğunu təsdiqləyin: konsol, bantdən kənar ünvan və ya planlaşdırılmış geri qaytarma. Sonra qayda dəstini və standart siyasəti oxuyun, çünki SSH qaydası olmayan standart rədd etmə test zamanı özünüzü kilidləməyin klassik yoludur. Bir dəfə bir qayda dəyişin və UFW-nin çap etdiyi təsdiqi oxuyun. Saxlanılmış qayda, aktiv qayda və əlçatan xidmət üç fərqli müşahidədir.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Dəyişiklikdən sonra icazə verilmiş bağlantını və hələ də rədd edilməli olan bir yolu sınayın. Rədd testi icazə testi qədər vacibdir, çünki nəzərdə tutulandan geniş qayda birinci testdən keçir və ikincidən keçmir. Profil adını, onun saxladığı portları və yoxladığınız dinləyicini qeyd edin.

Yoxlama siyahısı ad mövcud olanda və ya qəsdən əvəz edildikdə, tərif real dinləyiciyə uyğun gəldikdə, xidmət ayrıca idarə edildikdə və əlinizdə bərpa yolu ilə həm icazəli, həm də rədd edilmiş yolu sınadıqda bitir. Siyahıdakı ad bunların heç biri deyil.