Proffil ap UFW ar goll? Mae'n disgrifio porthladdoedd, nid gwasanaethau

Mae UFW yn dweud na all ddod o hyd i broffil sy'n cyfateb i OpenSSH, ac mae'r chwilio am achos yn mynd yn syth at y gweinydd SSH. Cyfeiriad anghywir yw hwn: mae'r neges yn ymwneud â diffiniad wal dân enwol, ac nid yw'n dweud dim am ba un a yw sshd wedi'i osod, yn rhedeg neu'n gwrando. Rhestr o borthladdoedd a phrotocolau ag enw arni yw proffil ap UFW. Mae darllen y diffiniad yn cymryd un gorchymyn ac fel arfer yn dod â'r ymchwiliad i ben.

Cam 1: rhestru'r enwau y mae UFW yn eu gwybod mewn gwirionedd

Gofynnwch i'r wal dân pa enwau sydd ganddi cyn gofyn iddi ganiatáu un. Daw'r rhestr o'r proffiliau sydd wedi'u gosod ar y peiriant hwn, felly mae enw ar goll yn ffaith am y system hon, nid am y meddalwedd roeddech yn ceisio ei diogelu. Os yw'r enw yn bresennol, daeth y gwall o gamgymeriad teipio neu alias hen yn hanes eich plisgyn.

ufw app list
ufw app info OpenSSH

Mae'r rhestr yn fyr ar osodiad rhagosodedig, ac nid yw'r enwau'n enwau pecynnau. Gall proffil o'r enw OpenSSH fod yn absennol tra bo'r pecyn openssh-server wedi'i osod, ac mae'r gwrthwyneb yn bosibl hefyd. Defnyddiwch yr union enw y mae'r rhestr yn ei argraffu; nid yw enw proffil VPN na lansiwr bwrdd gwaith â sillafiad tebyg yn broffil ap UFW. Os yw'r enw rydych ei eisiau ar goll, dyna'r canfyddiad, a'r cam nesaf yw edrych ar beth a ddylai ei ddarparu.

Cam 2: darllenwch y diffiniad, nid y label

Mae proffil yn ffeil ar ffurf INI o dan /etc/ufw/applications.d, gydag enw, teitl, disgrifiad a maes porthladdoedd. Gall y maes porthladdoedd restru sawl porthladd a chludiant, felly mae'r label yn dweud llai na'r diffiniad. Mae llawlyfr UFW yn dogfennu'r meysydd hyn a'r gweithrediad diweddaru apiau. Darllenwch y ffeil yn hytrach na chymryd yn ganiataol bod yr enw yn golygu un porthladd cyfarwydd.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Mae diffiniad sy'n cynnwys 22/tcp yn disgrifio porthladd TCP 22 a dim byd arall. Nid yw'n profi bod y daemon ar y peiriant hwn yn gwrando yno, ac nid yw'n cynnwys ail borthladd a ychwanegwyd gennych yn ddiweddarach. Os yw'r daemon yn rhedeg yn rhywle arall, y proffil yw'r caniatâd anghywir er bod ei enw'n cyfateb i'r cynnyrch. Cymharwch y gwrandawr â'r diffiniad cyn caniatáu'r naill na'r llall.

ss -ltnp 'sport = :22'

Stopiwch os yw'r diffiniad a'r gwrandawr yn anghytuno. Mae caniatáu proffil sy'n enwi porthladd nad oes neb yn gwrando arno yn creu rheol sy'n edrych fel cynnydd ac nad yw'n diogelu dim.

Cam 3: gwahanwch y proffil oddi wrth y gwasanaeth sy'n rhedeg

Nid yw caniatáu proffil enwol yn gosod, yn cychwyn nac yn ffurfweddu'r gwasanaeth, ac nid oes angen proffil pecynnu ar wasanaeth sy'n rhedeg i fod yn gyrraeddadwy. Penderfyniadau ar wahân sy'n eiddo i wahanol offer yw'r rhain: y rheolwr pecynnau, y rheolwr gwasanaethau a'r wal dân. Trin y rhain fel un yw'r ffordd y mae pobl yn gosod gweinydd digroeso er mwyn i enw symbolaidd ymddangos.

Ar gyfer gweinydd VPN mae'r gwahanu yn parhau ar ôl caniatáu'r gwrandawr allanol. Nid yw caniatâd ar gyfer porthladd y cludiant wedi'i amgryptio yn galluogi anfon yn y cnewyllyn, nid yw'n ychwanegu rheol NAT, ac nid yw'n rhoi mynediad i LAN i ddefnyddwyr y twnnel. Mae pob un o'r rhain yn bolisi ar wahân gyda'i adolygiad ei hun. Mae proffil a enwir ar ôl y cynnyrch VPN ond yn disgrifio'r porthladdoedd y mae'n eu rhestru, ac mae gweddill ffurfwedd y gweinydd yn dal i fod i chi ei ysgrifennu.

Os yw'r proffil ar goll ac mae arnoch ei angen, mae rheol porthladd benodol sydd wedi'i hadolygu neu broffil lleol o dan applications.d ill dau'n gyfreithlon. Nid yw gosod pecyn nad oeddech ei eisiau.

Cam 4: cadwch ffordd yn ôl cyn ail-lwytho'r wal dân

Cyn unrhyw newid rheol, cadarnhewch fod gennych ail ffordd i mewn i'r peiriant: consol, cyfeiriad all-fand neu addasiad a drefnwyd. Yna darllenwch y set rheolau a'r polisi rhagosodedig, oherwydd gwrthod rhagosodedig heb reol SSH yw'r ffordd glasurol o gloi eich hun allan wrth brofi. Newidiwch un rheol ar y tro a darllenwch y cadarnhad y mae UFW yn ei argraffu. Mae rheol wedi'i chadw, rheol weithredol a gwasanaeth cyrraeddadwy yn dri arsylwad gwahanol.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Ar ôl y newid, profwch y cysylltiad a ganiatawyd ac un llwybr y dylid ei wrthod o hyd. Mae'r prawf gwrthod yr un mor bwysig â'r prawf caniatáu, oherwydd mae rheol sy'n lletach na'r bwriad yn pasio'r prawf cyntaf ac yn methu'r ail. Cofnodwch enw'r proffil, y porthladdoedd a oedd ynddo a'r gwrandawr y gwnaethoch wirio yn ei erbyn.

Mae'r rhestr wirio'n dod i ben pan fydd yr enw'n bodoli neu wedi'i ddisodli'n fwriadol, y diffiniad yn cyfateb i'r gwir wrandawr, y gwasanaeth yn cael ei reoli ar wahân, ac wedi i chi brofi llwybr a ganiatawyd a llwybr a wrthodwyd gyda llwybr adfer wrth law. Nid yw enw ar y rhestr yn unrhyw un o'r pethau hynny.