Профіль праграмы UFW адсутнічае? Ён апісвае порты, а не службы

UFW паведамляе, што не можа знайсці профіль, які адпавядае OpenSSH, і пошук прычыны вядзе проста да сервера SSH. Гэта няправільны кірунак: паведамленне тычыцца названага азначэння міжсеткавага экрана і нічога не кажа пра тое, ці ўсталяваны sshd, ці працуе ён і ці слухае. Профіль праграмы UFW — гэта спіс портаў і пратаколаў з этыкеткай. Чытанне азначэння займае адну каманду і звычайна завяршае расследаванне.

Крок 1: пералічыце назвы, якія UFW сапраўды ведае

Спытайце міжсеткавы экран, якія назвы ў яго ёсць, перш чым прасіць дазволіць адну з іх. Спіс паходзіць з профіляў, усталяваных на гэтай машыне, таму адсутная назва — гэта факт пра гэтую сістэму, а не пра праграмнае забеспячэнне, якое вы спрабавалі абараніць. Калі назва ёсць, памылка ўзнікла з-за апячаткі або састарэлага псеўданіма ў гісторыі вашай абалонкі.

ufw app list
ufw app info OpenSSH

Спіс кароткі пры стандартнай устаноўцы, і назвы не з'яўляюцца назвамі пакетаў. Профіль з назвай OpenSSH можа адсутнічаць, пакуль пакет openssh-server усталяваны, і адваротнае таксама магчыма. Выкарыстоўвайце дакладную назву, якую друкуе спіс; назва профілю VPN або запускальнік працоўнага стала з падобным напісаннем не з'яўляецца профілем праграмы UFW. Калі патрэбная назва адсутнічае, гэта і ёсць выснова, і наступны крок — паглядзець, што павінна яе пастаўляць.

Крок 2: чытайце азначэнне, а не этыкетку

Профіль — гэта файл у стылі INI у /etc/ufw/applications.d, з назвай, загалоўкам, апісаннем і полем партоў. Поле партоў можа пералічваць некалькі партоў і транспартаў, таму этыкетка кажа менш, чым азначэнне. Кіраўніцтва UFW апісвае гэтыя палі і аперацыю абнаўлення праграм. Чытайце файл, а не мяркуйце, што назва азначае адзін знаёмы порт.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Азначэнне, якое змяшчае 22/tcp, апісвае TCP-порт 22 і больш нічога. Яно не даказвае, што дэман на гэтай машыне слухае там, і не ахоплівае другі порт, дададзены вамі пазней. Калі дэман працуе ў іншым месцы, профіль — гэта няправільны дазвол, нават калі яго назва адпавядае прадукту. Параўнайце слухач з азначэннем, перш чым дазваляць любы з іх.

ss -ltnp 'sport = :22'

Спыніцеся, калі азначэнне і слухач разыходзяцца. Дазвол профілю, які называе порт, што ніхто не слухае, стварае правіла, якое выглядае як прагрэс і нічога не абараняе.

Крок 3: аддзяліце профіль ад службы, якая працуе

Дазвол названага профілю не ўсталёўвае, не запускае і не наладжвае службу, а служба, якая працуе, не патрабуе ўпакаванага профілю, каб быць даступнай. Гэта асобныя рашэнні, якімі валодаюць розныя інструменты: менеджар пакетаў, менеджар службаў і міжсеткавы экран. Стаўленне да іх як да аднаго — гэта тое, як людзі ўсталёўваюць непатрэбны сервер, каб з'явілася сімвалічная назва.

Для сервера VPN падзел працягваецца пасля дазволу знешняму слухачу. Дазвол на порт шыфраванага транспарту не ўключае перасылку ядра, не дадае правіла NAT і не дае карыстальнікам тунеля доступ да LAN. Кожнае з гэтага — асобная палітыка з уласным аглядам. Профіль, названы ў гонар прадукту VPN, апісвае толькі порты, якія ён пералічвае, а рэшту канфігурацыі сервера ўсё яшчэ пішаце вы.

Калі профіль адсутнічае і ён вам патрэбны, прагледжанае яўнае правіла порта або лакальны профіль у applications.d — абодва законныя. Усталёўка пакета, які вы не хацелі, — не.

Крок 4: пакіньце шлях назад перад перазагрузкай міжсеткавага экрана

Перад любым змяненнем правілаў пераканайцеся, што ў вас ёсць другі шлях у машыну: кансоль, пазапалосны адрас або запланаваны адкат. Затым прачытайце набор правілаў і палітыку па змаўчанні, бо адмова па змаўчанні без правіла SSH — класічны спосаб заблакаваць сябе падчас тэставання. Змяняйце па аднаму правілу за раз і чытайце пацвярджэнне, якое друкуе UFW. Захаванае правіла, актыўнае правіла і даступная служба — гэта тры розныя назіранні.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Пасля змены праверце дазволенае злучэнне і адзін шлях, які павінен застацца забароненым. Тэст адмовы важны не менш за тэст дазволу, бо правіла шырэйшае за задуманае праходзіць першы тэст і не праходзіць другі. Запішыце назву профілю, порты, якія ён змяшчаў, і слухач, супраць якога вы правяралі.

Кантрольны спіс заканчваецца, калі назва існуе або свядома заменена, азначэнне адпавядае рэальнаму слухачу, служба кіруецца асобна, і вы правяралі як дазволены, так і забаронены шлях, маючы шлях аднаўлення. Назва ў спісе не з'яўляецца ні адным з гэтага.