Ĉu mankas la aplikaĵa profilo de UFW? Ĝi priskribas pordojn, ne servojn

UFW diras, ke ĝi ne trovas profilon kongruan kun OpenSSH, kaj la serĉado de kaŭzo iras rekte al la SSH-servilo. Tio estas la malĝusta direkto: la mesaĝo temas pri nomata fajromura difino kaj diras nenion pri tio, ĉu sshd estas instalita, funkcianta aŭ aŭskultanta. Aplikaĵa profilo de UFW estas listo de pordoj kaj protokoloj kun etikedo. Legi la difinon postulas unu komandon kaj kutime finas la esploron.

Paŝo 1: listigu la nomojn, kiujn UFW vere konas

Demandu la fajromuron, kiujn nomojn ĝi havas, antaŭ ol peti ĝin permesi unu. La listo venas de la profilo instalitaj sur ĉi tiu maŝino, do mankanta nomo estas fakto pri ĉi tiu sistemo, ne pri la programaro, kiun vi provis protekti. Se la nomo ĉeestas, la eraro venis de tajperaro aŭ malnova kaŝnomo en la historio de via ŝelo.

ufw app list
ufw app info OpenSSH

La listo estas mallonga ĉe defaŭltaj instalaĵoj, kaj la nomoj ne estas pakaĵnomoj. Profilo nomata OpenSSH povas manki dum la pakaĵo openssh-server estas instalita, kaj la malo ankaŭ eblas. Uzu la ĝustan nomon, kiun la listo presas; nomo de VPN-profilo aŭ labortabla lanĉilo kun simila literumo ne estas aplikaĵa profilo de UFW. Se la nomo, kiun vi volas, mankas, tio estas la konstato, kaj la sekva paŝo estas rigardi, kio devus provizi ĝin.

Paŝo 2: legu la difinon, ne la etikedon

Profilo estas dosiero laŭ INI-stilo sub /etc/ufw/applications.d, kun nomo, titolo, priskribo kaj pordokampo. La pordokampo povas listigi plurajn pordojn kaj transportojn, do la etikedo diras malpli ol la difino. La manlibro de UFW dokumentas ĉi tiujn kampojn kaj la operacion ĝisdatigi aplikaĵojn. Legu la dosieron anstataŭ supozi, ke la nomo signifas unu konatan pordon.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Difino enhavanta 22/tcp priskribas TCP-pordon 22 kaj nenion alian. Ĝi ne pruvas, ke la demono sur ĉi tiu maŝino aŭskultas tie, kaj ĝi ne kovras duan pordon, kiun vi aldonis poste. Se la demono funkcias aliloke, la profilo estas la malĝusta permeso eĉ se ĝia nomo kongruas kun la produkto. Komparu la aŭskultanton kun la difino antaŭ ol permesi iun ajn el ili.

ss -ltnp 'sport = :22'

Haltu se la difino kaj la aŭskultanto malkongruas. Permesi profilon, kiu nomas pordon, kie neniu aŭskultas, kreas regulon, kiu aspektas kiel progreso kaj protektas nenion.

Paŝo 3: apartigu la profilon de la funkcianta servo

Permesi nomatan profilon ne instalas, startigas aŭ agordas la servon, kaj funkcianta servo ne bezonas pakitajn profilon por esti atingebla. Tiuj estas apartaj decidoj posedataj de malsamaj iloj: la pakaĵmastrumilo, la servomastrumilo kaj la fajromuro. Trakti ilin kiel unu estas kiel homoj instalas nedeziratan servilon por ke simbola nomo aperu.

Por VPN-servilo la apartigo daŭras post kiam la ekstera aŭskultanto estas permesita. Permeso por la pordo de la ĉifrita transporto ne ebligas kernan plusendadon, ne aldonas NAT-regulon kaj ne donas al tunelaj uzantoj aliron al LAN. Ĉiu el tiuj estas aparta politiko kun sia propra revizio. Profilo nomita laŭ la VPN-produkto priskribas nur la pordojn, kiujn ĝi listigas, kaj la resto de la servila agordo ankoraŭ restas via por skribi.

Se la profilo mankas kaj vi bezonas unu, reviziita eksplicita pordoregulo aŭ loka profilo sub applications.d ambaŭ estas legitimaj. Instali pakaĵon, kiun vi ne volis, ne estas.

Paŝo 4: konservu vojon reen antaŭ ol reŝargi la fajromuron

Antaŭ ajna reguloŝanĝo, konfirmu, ke vi havas duan vojon en la maŝinon: konzolon, eksterbendan adreson aŭ planitan restarigon. Poste legu la regulan aron kaj la defaŭltan politikon, ĉar defaŭlta malpermeso sen SSH-regulo estas la klasika maniero ŝlosi vin ekstere dum testado. Ŝanĝu unu regulon samtempe kaj legu la konfirmon, kiun UFW presas. Konservita regulo, aktiva regulo kaj atingebla servo estas tri malsamaj observoj.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Post la ŝanĝo, testu la permesitan konekton kaj unu vojon, kiu ankoraŭ devus esti malpermesita. La malpermesa testo gravas same kiel la permesa, ĉar regulo pli larĝa ol intencite pasas la unuan teston kaj malsukcesas la duan. Notu la profilan nomon, la pordojn, kiujn ĝi enhavis, kaj la aŭskultanton, kontraŭ kiu vi kontrolis.

La kontrolisto finiĝas kiam la nomo ekzistas aŭ estas intence anstataŭita, la difino kongruas kun la vera aŭskultanto, la servo estas administrata aparte, kaj vi testis kaj permesitan kaj malpermesitan vojon kun restariga vojo en mano. Nomo en la listo ne estas io el tiuj.