Falta o perfil de aplicación de UFW? Describe portos, non servizos

UFW di que non atopa un perfil que coincida con OpenSSH, e a busca da causa vai directa ao servidor SSH. É a dirección equivocada: a mensaxe trata dunha definición de devasas con nome e non di nada sobre se sshd está instalado, en execución ou escoitando. Un perfil de aplicación de UFW é unha lista de portos e protocolos cunha etiqueta. Ler a definición custa un comando e normalmente remata a investigación.

Paso 1: enumera os nomes que UFW coñece de verdade

Pregunta á devasa que nomes ten antes de lle pedir que permita un. A lista vén dos perfís instalados nesta máquina, así que un nome ausente é un feito sobre este sistema e non sobre o software que intentabas protexer. Se o nome está, o erro veu dunha errata ou dun alias antigo no historial da túa shell.

ufw app list
ufw app info OpenSSH

A lista é curta nunha instalación por defecto, e os nomes non son nomes de paquetes. Un perfil chamado OpenSSH pode faltar mentres o paquete openssh-server está instalado, e o contrario tamén é posible. Usa o nome exacto que imprime a lista; un nome de perfil VPN ou un lanzador de escritorio cunha grafía semellante non é un perfil de aplicación de UFW. Se falta o nome que queres, ese é o achado, e o paso seguinte é mirar que debería proporcionarlo.

Paso 2: le a definición, non a etiqueta

Un perfil é un ficheiro de estilo INI en /etc/ufw/applications.d, cun nome, un título, unha descrición e un campo de portos. O campo de portos pode listar varios portos e transportes, así que a etiqueta di menos que a definición. O manual de UFW documenta estes campos e a operación de actualización de aplicacións. Le o ficheiro en lugar de supor que o nome significa un porto coñecido.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Unha definición que contén 22/tcp describe o porto TCP 22 e nada máis. Non demostra que o daemon desta máquina escoite alí, e non cobre un segundo porto que engadises despois. Se o daemon corre noutro lugar, o perfil é o permiso equivocado aínda que o seu nome coincida co produto. Compara o receptor coa definición antes de permitir calquera dos dous.

ss -ltnp 'sport = :22'

Détente se a definición e o receptor non coinciden. Permitir un perfil que nomea un porto onde ninguén escoita crea unha regra que parece un avance e non protexe nada.

Paso 3: separa o perfil do servizo en execución

Permitir un perfil con nome non instala, inicia nin configura o servizo, e un servizo en execución non necesita un perfil empaquetado para ser accesible. Son decisións separadas que pertencen a ferramentas distintas: o xestor de paquetes, o xestor de servizos e a devasa. Tratalas como unha soa é como a xente instala un servidor non desexado para que apareza un nome simbólico.

Para un servidor VPN a separación continúa despois de permitir o receptor exterior. O permiso para o porto do transporte cifrado non habilita o reenvío do núcleo, non engade unha regra NAT e non dá aos usuarios do túnel acceso a unha LAN. Cada un deses é unha política separada coa súa propia revisión. Un perfil co nome do produto VPN só describe os portos que lista, e o resto da configuración do servidor segue sendo teu de escribir.

Se falta o perfil e necesitas un, unha regra de porto explícita revisada ou un perfil local en applications.d son ambos lexítimos. Instalar un paquete que non querías non o é.

Paso 4: garda unha vía de volta antes de recargar a devasa

Antes de calquera cambio de regra, confirma que tes unha segunda vía cara á máquina: unha consola, un enderezo fóra de banda ou un retorno programado. Despois le o conxunto de regras e a política por defecto, porque unha denegación por defecto sen regra SSH é a forma clásica de quedares fóra mentres probas. Cambia unha regra á vez e le a confirmación que imprime UFW. Unha regra gardada, unha regra activa e un servizo accesible son tres observacións distintas.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Despois do cambio, proba a conexión permitida e unha vía que aínda debería denegarse. A proba de denegación importa tanto como a de permiso, porque unha regra máis ampla do previsto pasa a primeira proba e falla a segunda. Anota o nome do perfil, os portos que contiña e o receptor contra o que verificaches.

A lista de comprobación remata cando o nome existe ou se substituíu deliberadamente, a definición coincide co receptor real, o servizo xestiónase por separado, e probaches tanto unha vía permitida como unha denegada cunha ruta de recuperación á man. Un nome na lista non é nada diso.