UFWren aplikazio-profila falta da? Atakak deskribatzen ditu, ez zerbitzuak

UFWk dio ez duela OpenSSH-rekin bat datorren profilik aurkitzen, eta arrazoiaren bilaketak zuzenean SSH zerbitzarira eramaten du. Norabide okerra da: mezua suebaki-definizio izendatu bati buruzkoa da eta ez du ezer esaten sshd instalatuta, martxan edo entzuten ari den ala ez. UFWren aplikazio-profila ataken eta protokoloen zerrenda bat da, etiketa batekin. Definizioa irakurtzeak komando bat eskatzen du eta normalean ikerketa amaitzen du.

Urratsa 1: zerrendatu UFWk benetan ezagutzen dituen izenak

Galdetu suebakiari zer izen dituen bat baimendu aurretik. Zerrenda makin honetan instalatutako profiletatik dator, beraz falta den izena sistema honi buruzko egitatea da, babestu nahi zenuen softwareari buruzkoa ez. Izena badago, errorea tipografia-errore batetik edo zure shellaren historiako alias zahar batetik etorri da.

ufw app list
ufw app info OpenSSH

Zerrenda laburra da instalazio lehenetsian, eta izenak ez dira paketeen izenak. OpenSSH izeneko profila falta daiteke openssh-server paketea instalatuta dagoen bitartean, eta alderantzizkoa ere posible da. Erabili zerrendak inprimatzen duen izen zehatza; VPN profil-izen bat edo antzeko idazkera duen mahaigaineko abiarazle bat ez da UFWren aplikazio-profila. Nahi duzun izena falta bada, hori da aurkikuntza, eta hurrengo urratsa da hori hornitu beharko lukeena aztertzea.

Urratsa 2: irakurri definizioa, ez etiketa

Profila INI estiloko fitxategi bat da /etc/ufw/applications.d azpian, izen, titulu, deskribapen eta ataka-eremu batekin. Ataka-eremuak hainbat ataka eta garraio zerrenda ditzake, beraz etiketak definizioak baino gutxiago esaten du. UFW eskuliburuak eremu horiek eta aplikazioak eguneratzeko eragiketa dokumentatzen ditu. Irakurri fitxategia, izenak ataka ezagun bat esan nahi duela suposatu beharrean.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Definizio batek 22/tcp badu, TCP 22 ataka deskribatzen du eta besterik ez. Ez du frogatzen makin honetako daemona han entzuten ari denik, eta ez du geroago gehitutako bigarren ataka estaltzen. Daemona beste leku batean badabil, profila baimen okerra da, bere izena produktuarekin bat etorri arren. Alderatu entzulea definizioarekin, horietako edozein baimendu aurretik.

ss -ltnp 'sport = :22'

Gelditu definizioa eta entzulea bat ez badatoz. Inork entzuten ez duen ataka bat izendatzen duen profila baimentzeak aurrerapena ematen duen baina ezer babesten ez duen araua sortzen du.

Urratsa 3: bereizi profila martxan dagoen zerbitzutik

Profil izendatu bat baimentzeak ez du zerbitzua instalatzen, abiarazten edo konfiguratzen, eta martxan dagoen zerbitzu batek ez du profil bildu bat behar irisgarri izateko. Tresna ezberdinen ardurapeko erabaki bereiziak dira: pakete-kudeatzailea, zerbitzu-kudeatzailea eta suebakia. Horiek bat balira bezala tratatzea da jendeak nahi ez duen zerbitzari bat instalatzeko modua, izen sinboliko bat ager dadin.

VPN zerbitzari baten kasuan bereizketak jarraitzen du kanpoko entzulea baimendu ondoren. Garraio zifratuaren atakaren baimenak ez du kernelaren aurreratzea gaitzen, ez du NAT araurik gehitzen eta ez die tunel erabiltzaileei LAN baterako sarbiderik ematen. Horietako bakoitza gainbegiratzen den politika bereizia da. VPN produktuaren izena duen profilak zerrendatzen dituen atakak soilik deskribatzen ditu, eta zerbitzariaren konfigurazioaren gainerakoa zurea da idazteko.

Profila falta bada eta bat behar baduzu, berrikusitako ataka-arau esplizitu bat edo applications.d azpiko profil lokal bat biak dira zilegi. Nahi ez zenuen pakete bat instalatzea ez da.

Urratsa 4: gorde itzultzeko bidea suebakia berriro kargatu aurretik

Arau aldaketaren aurretik, egiaztatu makinara sartzeko bigarren bidea duzula: kontsola bat, kanpoko helbide bat edo programatutako atzera-itzulera. Ondoren irakurri arau-multzoa eta politika lehenetsia, SSH araurik gabe ukapen lehenetsia probatzen ari zaren bitartean kanpoan giltzapetzeko modu klasikoa baita. Aldatu arau bat aldiko eta irakurri UFWk inprimatzen duen berrespena. Gorderiko araua, arau aktiboa eta irisgarri den zerbitzua hiru behaketa desberdin dira.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Aldaketaren ondoren, probatu baimendutako konexioa eta ukaturik jarraitu behar duen bide bat. Ukapenaren proba baimenarena bezain garrantzitsua da, asmoa baino zabalagoa den arau batek lehen proba igarotzen baitu eta bigarrenean huts egiten du. Idatzi profilaren izena, zeuzkan atakak eta egiaztatu zenuen entzulea.

Kontrol-zerrenda amaitzen da izena badago edo nahita ordezkatu bada, definizioa benetako entzulearekin bat badator, zerbitzua bereiz kudeatzen bada, eta baimendutako zein ukaturiko bidea probatu badituzu, berreskuratzeko bidea eskuan duzula. Zerrendan izen bat egotea ez da horietako ezer.