Chybí profil aplikace UFW? Popisuje porty, ne služby

UFW hlásí, že nemůže najít profil odpovídající OpenSSH, a hledání příčiny vede přímo k serveru SSH. To je špatný směr: zpráva se týká pojmenované definice firewallu a neříká nic o tom, zda je sshd nainstalovaný, běží nebo poslouchá. Profil aplikace UFW je seznam portů a protokolů s názvem. Přečtení definice zabere jeden příkaz a obvykle vyšetřování ukončí.

Krok 1: vypište názvy, které UFW skutečně zná

Než firewallu řeknete, aby něco povolil, zeptejte se, jaké názvy má. Seznam pochází z profilů nainstalovaných na tomto počítači, takže chybějící název je fakt o tomto systému, ne o softwaru, který jste se snažili chránit. Pokud název existuje, chyba přišla z překlepu nebo zastaralého aliasu v historii vašeho shellu.

ufw app list
ufw app info OpenSSH

Seznam je při výchozí instalaci krátký a názvy nejsou názvy balíčků. Profil s názvem OpenSSH může chybět, i když je balíček openssh-server nainstalovaný, a opak je také možný. Použijte přesný název, který seznam vypisuje; název profilu VPN nebo spouštěč na ploše s podobným pravopisem není profil aplikace UFW. Pokud požadovaný název chybí, to je zjištění a dalším krokem je podívat se, co by ho mělo dodat.

Krok 2: čtěte definici, ne označení

Profil je soubor ve stylu INI v /etc/ufw/applications.d s názvem, titulkem, popisem a polem portů. Pole portů může vyjmenovat několik portů a transportů, takže označení vám řekne méně než definice. Příručka UFW dokumentuje tato pole a operaci aktualizace aplikací. Čtěte soubor, místo abyste předpokládali, že název znamená jeden známý port.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Definice obsahující 22/tcp popisuje TCP port 22 a nic jiného. Nedokazuje, že tam démon na tomto počítači poslouchá, a nepokrývá druhý port, který jste přidali později. Pokud démon běží jinde, je profil špatné povolení, i když jeho název odpovídá produktu. Porovnejte posluchač s definicí, než povolíte kterýkoli z nich.

ss -ltnp 'sport = :22'

Zastavte se, pokud si definice a posluchač neodpovídají. Povolení profilu, který pojmenovává port, na kterém nikdo neposlouchá, vytváří pravidlo, které vypadá jako pokrok a nic nechrání.

Krok 3: oddělte profil od běžící služby

Povolení pojmenovaného profilu službu nenainstaluje, nespustí ani nenakonfiguruje a běžící služba nepotřebuje zabalený profil, aby byla dostupná. To jsou oddělená rozhodnutí, která vlastní různé nástroje: správce balíčků, správce služeb a firewall. Zacházet s nimi jako s jedním je způsob, jak lidé instalují nechtěný server, aby se objevil symbolický název.

U serveru VPN oddělení pokračuje poté, co je vnější posluchač povolen. Povolení portu šifrovaného transportu nezapíná přesměrování v jádře, nepřidává pravidlo NAT a nedává uživatelům tunelu přístup do LAN. Každé z toho je samostatná politika s vlastní kontrolou. Profil pojmenovaný podle produktu VPN popisuje jen porty, které uvádí, a zbytek konfigurace serveru stále píšete vy.

Pokud profil chybí a potřebujete ho, zkontrolované explicitní pravidlo portu nebo místní profil v applications.d jsou oba legitimní. Instalace balíčku, který jste nechtěli, ne.

Krok 4: než firewall načtete znovu, nechte si cestu zpět

Před jakoukoli změnou pravidla si potvrďte, že máte druhou cestu do počítače: konzoli, mimopásmovou adresu nebo naplánovaný návrat. Pak si přečtěte sadu pravidel a výchozí politiku, protože výchozí odmítnutí bez pravidla SSH je klasický způsob, jak se při testování zamknout ven. Měňte jedno pravidlo po druhém a čtěte potvrzení, které UFW vypisuje. Uložené pravidlo, aktivní pravidlo a dostupná služba jsou tři různá pozorování.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Po změně otestujte povolené připojení a jednu cestu, která má zůstat odmítnutá. Test odmítnutí je stejně důležitý jako test povolení, protože pravidlo širší, než bylo zamýšleno, projde prvním testem a selže ve druhém. Zapište název profilu, porty, které obsahoval, a posluchač, proti kterému jste ověřovali.

Kontrolní seznam končí, když název existuje nebo je záměrně nahrazen, definice odpovídá skutečnému posluchači, služba je spravována odděleně a otestovali jste povolenou i odmítnutou cestu s cestou obnovy po ruce. Název v seznamu není nic z toho.