UFW-appprofil ûntbrekt? It beskriuwt poarten, net tsjinsten

UFW seit dat it gjin profyl fine kin dat by OpenSSH past, en de syktocht nei in oarsaak giet streekrjocht nei de SSH-tsjinner. Dat is de ferkearde rjochting: it berjocht giet oer in neamde firewall-definysje en seit neat oer de fraach oft sshd ynstallearre is, rint of lústert. In UFW-appprofil is in list fan poarten en protokollen mei in label derop. It lêzen fan 'e definysje kostet ien opdracht en einiget meastentiids it ûndersyk.

Stap 1: list de nammen op dy't UFW echt ken

Freegje de firewall hokker nammen er hat foar't jo freegje om ien ta te litten. De list komt fan 'e profilen dy't op dizze masine ynstallearre binne, dus in ûntbrekkende namme is in feit oer dit systeem, net oer de software dy't jo besykje te beskermjen. As de namme der is, kaam de flater fan in typflater of in ferâldere alias yn jo shell-skiednis.

ufw app list
ufw app info OpenSSH

De list is koart by in standertynstallaasje, en de nammen binne gjin pakketnammen. In profyl mei de namme OpenSSH kin ûntbrekke wylst it pakket openssh-server ynstallearre is, en it omkearde is ek mooglik. Brûk de krekte namme dy't de list printsjet; in VPN-profylnamme of in buroblêd-starter mei ferlykbere stavering is gjin UFW-appprofil. As de namme dy't jo wolle ûntbrekt, is dat de befinning, en de folgjende stap is sjen wat it leverje moat.

Stap 2: lês de definysje, net it label

In profyl is in bestân yn INI-styl ûnder /etc/ufw/applications.d, mei in namme, in titel, in beskriuwing en in poartefjild. It poartefjild kin ferskate poarten en ferfier listen, dus it label fertelt jo minder as de definysje. De UFW-hânlieding dokumintearret dizze fjilden en de bewurking om applikaasjes by te wurkjen. Lês it bestân ynstee fan oan te nimmen dat de namme ien bekende poarte betsjut.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

In definysje mei 22/tcp beskriuwt TCP-poarte 22 en neat oars. It bewiist net dat de daemon op dizze masine dêr lústert, en it dekt gjin twadde poarte dy't jo letter tafoege hawwe. As de daemon earne oars rint, is it profyl de ferkearde tastimming, ek al komt de namme oerien mei it produkt. Ferlykje de lústerder mei de definysje foar't jo ien fan beide tastean.

ss -ltnp 'sport = :22'

Stop as de definysje en de lústerder net oerienkomme. In profyl tastean dat in poarte neamt dêr't nimmen nei lústert, makket in regel dy't op foarútgong liket en neat beskermet.

Stap 3: skied it profyl fan de rinnende tsjinst

In neamd profyl tastean ynstallearret, start of konfigurearret de tsjinst net, en in rinnende tsjinst hat gjin ferpakt profyl nedich om berikber te wêzen. Dat binne ôfsûnderlike besluten dy't eigendom binne fan ferskate ark: de pakketbehearder, de tsjinstbehearder en de firewall. Se as ien behannelje is de manier wêrop minsken in net-winske tsjinner ynstallearje om in symboalyske namme ferskine te litten.

Foar in VPN-tsjinner giet de skieding troch nei't de bûtenste lústerder tastien is. Tastimming foar de poarte fan it fersifere ferfier ynskeakelt gjin kernel-oerdracht, foeget gjin NAT-regel ta en jout tunnelbrûkers gjin tagong ta in LAN. Elk dêrfan is in ôfsûnderlik belied mei syn eigen beoardieling. In profyl neamd nei it VPN-produkt beskriuwt allinnich de poarten dy't it listet, en de rest fan 'e tsjinnerkonfiguraasje is noch altyd oan jo om te skriuwen.

As it profyl ûntbrekt en jo hawwe der ien nedich, binne in beoardiele eksplisite poarteregel of in lokaal profyl ûnder applications.d beide legitiem. In pakket ynstallearje dat jo net woene, is dat net.

Stap 4: hâld in wei werom foar't jo de firewall opnij lade

Foardat jo in regel feroarje, befêstigje dat jo in twadde wei yn 'e masine hawwe: in konsole, in adres bûten de bân of in plande weromrol. Lês dan de regelset en it standertbelied, want in standert wegering sûnder SSH-regel is de klassike manier om josels by it testen bûten te sluten. Feroarje ien regel tagelyk en lês de befêstiging dy't UFW printsjet. In bewarre regel, in aktive regel en in berikbere tsjinst binne trije ferskate waarnimmings.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Test nei de feroaring de tastiene ferbining en ien wei dy't noch altyd wegering krije moat. De wegeringstest is like wichtich as de tastimmingstest, want in regel breder as bedoeld slagget foar de earste test en falt by de twadde. Skriuw de profylnamme, de poarten dy't it befette en de lústerder dêr't jo tsjin ferifisearre hawwe, op.

De checklist einiget as de namme bestiet of bewust ferfongen is, de definysje by de echte lústerder past, de tsjinst apart beheard wurdt, en jo sawol in tastiene as in wegere wei test hawwe mei in herstelrûte by de hân. In namme yn 'e list is gjin ien fan dy dingen.