UFW-sovellusprofiili puuttuu? Se kuvaa portteja, ei palveluita

UFW ilmoittaa, ettei se löydä OpenSSH:ta vastaavaa profiilia, ja syyn etsintä johtaa suoraan SSH-palvelimeen. Se on väärä suunta: viesti koskee nimettyä palomuurimääritelmää eikä kerro mitään siitä, onko sshd asennettu, käynnissä vai kuuntelemassa. UFW-sovellusprofiili on luettelo porteista ja protokolloista, jossa on nimi. Määritelmän lukemiseen tarvitaan yksi komento, ja se yleensä päättää tutkinnan.

Vaihe 1: luettele nimet, jotka UFW todella tuntee

Kysy palomuurilta, mitkä nimet sillä on, ennen kuin pyydät sitä sallimaan yhden. Luettelo tulee tälle koneelle asennetuista profiileista, joten puuttuva nimi on tosiasia tästä järjestelmästä, ei ohjelmistosta, jota yritit suojata. Jos nimi on olemassa, virhe tuli kirjoitusvirheestä tai kuoresi historian vanhentuneesta aliaksesta.

ufw app list
ufw app info OpenSSH

Luettelo on lyhyt oletusasennuksessa, eivätkä nimet ole pakettien nimiä. Profiili nimeltä OpenSSH voi puuttua, vaikka paketti openssh-server on asennettu, ja myös päinvastoin on mahdollista. Käytä täsmälleen sitä nimeä, jonka luettelo tulostaa; samankaltaisella kirjoitusasulla oleva VPN-profiilin nimi tai työpöydän käynnistin ei ole UFW-sovellusprofiili. Jos haluamasi nimi puuttuu, se on löydös, ja seuraava vaihe on katsoa, minkä pitäisi toimittaa se.

Vaihe 2: lue määritelmä, älä nimikettä

Profiili on INI-tyylinen tiedosto polussa /etc/ufw/applications.d, ja siinä on nimi, otsikko, kuvaus ja portit-kenttä. Portit-kenttä voi luetella useita portteja ja kuljetuksia, joten nimike kertoo vähemmän kuin määritelmä. UFW-käsikirja dokumentoi nämä kentät ja sovellusten päivitystoiminnon. Lue tiedosto sen sijaan, että olettaisit nimen tarkoittavan yhtä tuttua porttia.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Määritelmä, joka sisältää 22/tcp, kuvaa TCP-portin 22 eikä mitään muuta. Se ei todista, että tämän koneen taustaprosessi kuuntelee siellä, eikä se kata toista porttia, jonka lisäsit myöhemmin. Jos taustaprosessi toimii muualla, profiili on väärä lupa, vaikka sen nimi vastaisi tuotetta. Vertaa kuuntelijaa määritelmään ennen kuin sallit kumman tahansa.

ss -ltnp 'sport = :22'

Pysähdy, jos määritelmä ja kuuntelija eivät täsmää. Profiilin salliminen, joka nimeää portin, jolla kukaan ei kuuntele, luo säännön, joka näyttää edistykseltä eikä suojaa mitään.

Vaihe 3: erota profiili käynnissä olevasta palvelusta

Nimetyn profiilin salliminen ei asenna, käynnistä tai määritä palvelua, eikä käynnissä oleva palvelu tarvitse paketoitua profiilia ollakseen tavoitettavissa. Ne ovat erillisiä päätöksiä, joita eri työkalut omistavat: paketinhallinta, palvelunhallinta ja palomuuri. Niiden kohteleminen yhtenä on se tapa, jolla ihmiset asentavat ei-toivotun palvelimen, jotta symbolinen nimi ilmestyisi.

VPN-palvelimen kohdalla erottelu jatkuu sen jälkeen, kun ulompi kuuntelija on sallittu. Salatun kuljetuksen portin lupa ei mahdollista ytimen edelleenlähetystä, ei lisää NAT-sääntöä eikä anna tunnelinkäyttäjille pääsyä LAN-verkkoon. Jokainen näistä on erillinen käytäntö omalla tarkistuksellaan. VPN-tuotteen mukaan nimetty profiili kuvaa vain ne portit, jotka se luettelee, ja loput palvelimen kokoonpanosta on edelleen sinun kirjoitettavasi.

Jos profiili puuttuu ja tarvitset sellaisen, tarkistettu nimenomainen porttisääntö tai paikallinen profiili polussa applications.d ovat molemmat hyväksyttäviä. Ei-toivotun paketin asentaminen ei ole.

Vaihe 4: pidä paluureitti ennen palomuurin uudelleenlatausta

Ennen mitään sääntömuutosta varmista, että sinulla on toinen reitti koneeseen: konsoli, kaistanulkoinen osoite tai ajastettu palautus. Lue sitten sääntöjoukko ja oletuskäytäntö, sillä oletusarvoinen esto ilman SSH-sääntöä on klassinen tapa lukita itsensä ulos testauksen aikana. Muuta yhtä sääntöä kerrallaan ja lue vahvistus, jonka UFW tulostaa. Tallennettu sääntö, aktiivinen sääntö ja tavoitettavissa oleva palvelu ovat kolme eri havaintoa.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Testaa muutoksen jälkeen sallittu yhteys ja yksi reitti, jonka pitäisi edelleen olla estetty. Estotesti on yhtä tärkeä kuin sallintatesti, koska aiottua leveämpi sääntö läpäisee ensimmäisen testin ja epäonnistuu toisessa. Kirjaa profiilin nimi, sen sisältämät portit ja kuuntelija, jota vasten varmistit.

Tarkistuslista päättyy, kun nimi on olemassa tai tietoisesti korvattu, määritelmä vastaa todellista kuuntelijaa, palvelua hallitaan erikseen ja olet testannut sekä sallitun että estetyn reitin palautusreitti käsissäsi. Nimi luettelossa ei ole mikään näistä.