UFW rakenduse profiil puudub? See kirjeldab porte, mitte teenuseid

UFW teatab, et ei leia OpenSSH-le vastavat profiili, ja põhjuse otsimine viib otse SSH-serveri juurde. See on vale suund: teade käib nimega tulemüüri definitsiooni kohta ega ütle midagi selle kohta, kas sshd on paigaldatud, töötab või kuulab. UFW rakenduse profiil on silti kandev portide ja protokollide loend. Definitsiooni lugemine võtab ühe käsu ja lõpetab tavaliselt uurimise.

Samm 1: loetlege nimed, mida UFW tegelikult teab

Küsige tulemüürilt, millised nimed sellel on, enne kui palute tal ühte lubada. Loend pärineb sellele masinale paigaldatud profiilidest, seega puuduv nimi on fakt selle süsteemi kohta, mitte tarkvara kohta, mida proovisite kaitsta. Kui nimi on olemas, tuli viga kirjaveast või teie shelli ajaloo vananenud aliasest.

ufw app list
ufw app info OpenSSH

Loend on vaikepaigaldusel lühike ja nimed ei ole paketinimed. Profiil nimega OpenSSH võib puududa, samal ajal kui pakett openssh-server on paigaldatud, ja ka vastupidi on võimalik. Kasutage täpset nime, mille loend väljastab; sarnase kirjapildiga VPN-profiili nimi või töölaua käivitaja ei ole UFW rakenduse profiil. Kui soovitud nimi puudub, on see tulemus, ja järgmine samm on vaadata, mis peaks selle pakkuma.

Samm 2: lugege definitsiooni, mitte silti

Profiil on INI-stiilis fail asukohas /etc/ufw/applications.d, millel on nimi, pealkiri, kirjeldus ja portide väli. Portide väli võib loetleda mitu porti ja transporti, seega ütleb silt vähem kui definitsioon. UFW käsiraamat dokumenteerib need väljad ja rakenduste värskendamise toimingu. Lugege faili, selle asemel et eeldada, et nimi tähendab ühte tuntud porti.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Definitsioon, mis sisaldab 22/tcp, kirjeldab TCP-porti 22 ja ei midagi muud. See ei tõesta, et selle masina deemon seal kuulab, ja see ei kata teist porti, mille hiljem lisasite. Kui deemon töötab mujal, on profiil vale luba, isegi kui selle nimi sobib tootega. Võrrelge kuulajat definitsiooniga enne, kui lubate kumbagi.

ss -ltnp 'sport = :22'

Lõpetage, kui definitsioon ja kuulaja ei ühti. Profiili lubamine, mis nimetab porti, kus keegi ei kuula, loob reegli, mis näeb välja nagu edasiminek ja ei kaitse midagi.

Samm 3: eraldage profiil töötavast teenusest

Nimega profiili lubamine ei paigalda, käivita ega seadista teenust, ja töötav teenus ei vaja ligipääsetavuse tagamiseks pakendatud profiili. Need on eraldi otsused, mis kuuluvad erinevatele tööriistadele: paketihaldur, teenusehaldur ja tulemüür. Nende käsitlemine ühena on viis, kuidas inimesed paigaldavad soovimatu serveri, et sümboolne nimi ilmuks.

VPN-serveri puhul jätkub eraldamine pärast välimise kuulaja lubamist. Krüpteeritud transpordi pordi luba ei võimalda kerneli edastamist, ei lisa NAT-reeglit ega anna tunnelikasutajatele juurdepääsu LAN-ile. Igaüks neist on eraldi poliitika oma ülevaatega. VPN-toote järgi nimetatud profiil kirjeldab ainult porte, mida see loetleb, ja ülejäänud serveri seadistus on endiselt teie kirjutada.

Kui profiil puudub ja vajate ühte, on üle vaadatud selgesõnaline pordireegel või kohalik profiil asukohas applications.d mõlemad õigustatud. Soovimatu paketi paigaldamine ei ole.

Samm 4: hoidke tagasiteed enne tulemüüri uuesti laadimist

Enne mis tahes reeglimuudatust kinnitage, et teil on masinasse teine tee: konsool, ribaväline aadress või ajastatud tagasipööramine. Seejärel lugege reeglistikku ja vaikepoliitikat, sest vaikimisi keeld ilma SSH-reeglita on klassikaline viis end testimise ajal välja lukustada. Muutke korraga ühte reeglit ja lugege kinnitust, mille UFW väljastab. Salvestatud reegel, aktiivne reegel ja ligipääsetav teenus on kolm erinevat tähelepanekut.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Pärast muudatust testige lubatud ühendust ja ühte teed, mis peaks jääma keelatuks. Keeldumistest on sama oluline kui lubamistest, sest kavatsetust laiem reegel läbib esimese testi ja ebaõnnestub teises. Kirjutage üles profiili nimi, selles sisaldunud pordid ja kuulaja, mille vastu kontrollisite.

Kontrollnimekiri lõpeb, kui nimi on olemas või teadlikult asendatud, definitsioon vastab tegelikule kuulajale, teenust hallatakse eraldi ja olete testinud nii lubatud kui keelatud teed, käepärast taastamistee. Nimi loendis ei ole ükski neist.