UFW հավելվածի պրոֆիլը բացակայում է։ Այն նկարագրում է պորտեր, ոչ ծառայություններ

UFW-ն ասում է, որ չի գտնում OpenSSH-ին համապատասխան պրոֆիլ, և պատճառի որոնումն ուղիղ տանում է դեպի SSH սերվեր։ Սա սխալ ուղղություն է. հաղորդագրությունը վերաբերում է անվանված Firewall սահմանմանը և ոչինչ չի ասում այն մասին, թե արդյոք sshd-ն տեղադրված է, աշխատում է կամ լսում է։ UFW հավելվածի պրոֆիլը պորտերի և արձանագրությունների ցանկ է՝ պիտակով։ Սահմանումը կարդալը պահանջում է մեկ հրահանգ և սովորաբար ավարտում է հետաքննությունը։

Քայլ 1: թվարկե՛ք այն անունները, որոնք UFW-ն իսկապես գիտի

Հարցրե՛ք Firewall-ին, թե ինչ անուններ ունի, նախքան դրանցից մեկին թույլատրել խնդրելը։ Ցանկը գալիս է այս մեքենայի վրա տեղադրված պրոֆիլներից, ուստի բացակայող անունը փաստ է այս համակարգի մասին, ոչ թե այն ծրագրաշարի, որը փորձում էիք պաշտպանել։ Եթե անունը կա, սխալը եկել է տպագրական վրիպակից կամ ձեր shell-ի պատմության հնացած կեղծանունից։

ufw app list
ufw app info OpenSSH

Ցանկը կարճ է լռելյայն տեղադրման դեպքում, և անունները փաթեթների անուններ չեն։ OpenSSH անունով պրոֆիլը կարող է բացակայել, մինչ openssh-server փաթեթը տեղադրված է, և հակառակը նույնպես հնարավոր է։ Օգտագործե՛ք ճիշտ այն անունը, որը տպում է ցանկը; նման ուղղագրությամբ VPN պրոֆիլի անունը կամ աշխատանքային սեղանի գործարկիչը UFW հավելվածի պրոֆիլ չէ։ Եթե ձեր ուզած անունը բացակայում է, դա է հայտնաբերումը, և հաջորդ քայլը տեսնելն է, թե ինչը պետք է տրամադրի այն։

Քայլ 2: կարդացե՛ք սահմանումը, ոչ պիտակը

Պրոֆիլը INI ոճի ֆայլ է /etc/ufw/applications.d հասցեում՝ անունով, վերնագրով, նկարագրությամբ և պորտերի դաշտով։ Պորտերի դաշտը կարող է թվարկել մի քանի պորտ և փոխադրում, ուստի պիտակը ավելի քիչ է ասում, քան սահմանումը։ UFW ձեռնարկը փաստագրում է այս դաշտերը և հավելվածների թարմացման գործողությունը։ Կարդացե՛ք ֆայլը՝ փոխարենը ենթադրելու, որ անունը նշանակում է մեկ ծանոթ պորտ։

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

22/tcp պարունակող սահմանումը նկարագրում է TCP 22 պորտը և ուրիշ ոչինչ։ Այն չի ապացուցում, որ այս մեքենայի դեմոնը այնտեղ լսում է, և չի ընդգրկում ավելի ուշ ավելացրած երկրորդ պորտը։ Եթե դեմոնը աշխատում է այլ տեղ, պրոֆիլը սխալ թույլտվություն է, նույնիսկ եթե նրա անունը համընկնում է արտադրանքի հետ։ Համեմատե՛ք լսողին սահմանման հետ, նախքան դրանցից որևէ մեկին թույլատրելը։

ss -ltnp 'sport = :22'

Կանգնե՛ք, եթե սահմանումը և լսողը չեն համընկնում։ Պրոֆիլի թույլատրումը, որը նշում է պորտ, որտեղ ոչ ոք չի լսում, ստեղծում է կանոն, որը նման է առաջընթացի և ոչինչ չի պաշտպանում։

Քայլ 3: առանձնացրե՛ք պրոֆիլը աշխատող ծառայությունից

Անվանված պրոֆիլի թույլատրումը չի տեղադրում, չի սկսում և չի կարգավորում ծառայությունը, և աշխատող ծառայությանը փաթեթավորված պրոֆիլ պետք չէ հասանելի լինելու համար։ Սրանք առանձին որոշումներ են, որոնք պատկանում են տարբեր գործիքների՝ փաթեթների կառավարչին, ծառայությունների կառավարչին և Firewall-ին։ Դրանք մեկը համարելը հենց այն ձևն է, որով մարդիկ տեղադրում են անցանկալի սերվեր, որպեսզի խորհրդանշական անուն հայտնվի։

VPN սերվերի համար առանձնացումը շարունակվում է արտաքին լսողին թույլատրելուց հետո։ Գաղտնագրված փոխադրման պորտի թույլտվությունը չի միացնում միջուկի փոխանցումը, չի ավելացնում NAT կանոն և թունելի օգտատերերին LAN հասանելիություն չի տալիս։ Դրանցից յուրաքանչյուրը առանձին քաղաքականություն է՝ իր սեփական վերանայմամբ։ VPN արտադրանքի անունով պրոֆիլը նկարագրում է միայն իր թվարկած պորտերը, իսկ սերվերի կարգավորման մնացած մասը դեռ ձերն է գրելու։

Եթե պրոֆիլը բացակայում է և պետք է մեկը, ապա վերանայված հստակ պորտի կանոնը կամ applications.d-ի տակ գտնվող տեղական պրոֆիլը երկուսն էլ օրինական են։ Չուզած փաթեթ տեղադրելը օրինական չէ։

Քայլ 4: պահե՛ք վերադարձի ուղի, նախքան Firewall-ը նորից բեռնելը

Ցանկացած կանոնի փոփոխությունից առաջ հաստատե՛ք, որ ունեք երկրորդ ուղի դեպի մեքենան՝ կոնսոլ, ժապավենից դուրս հասցե կամ պլանավորված հետգլորում։ Այնուհետև կարդացե՛ք կանոնների հավաքածուն և լռելյայն քաղաքականությունը, որովհետև առանց SSH կանոնի լռելյայն մերժումը դասական ձևն է՝ փորձարկման ընթացքում ինքդ քեզ դուրս փակելու։ Փոխե՛ք մեկ կանոն միաժամանակ և կարդացե՛ք UFW-ի տպած հաստատումը։ Պահված կանոնը, ակտիվ կանոնը և հասանելի ծառայությունը երեք տարբեր դիտարկումներ են։

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Փոփոխությունից հետո փորձարկե՛ք թույլատրված միացումը և մեկ ուղի, որը դեռ պետք է մերժվի։ Մերժման փորձարկումը նույնքան կարևոր է, որքան թույլտվությանը, որովհետև նախատեսվածից ավելի լայն կանոնը անցնում է առաջին փորձարկումը և ձախողվում երկրորդում։ Գրանցե՛ք պրոֆիլի անունը, նրա պարունակած պորտերը և լսողը, որի դեմ ստուգել եք։

Ստուգաթերթը ավարտվում է, երբ անունը կա կամ դիտավորյալ փոխարինված է, սահմանումը համընկնում է իրական լսողի հետ, ծառայությունը կառավարվում է առանձին, և դուք փորձարկել եք և՛ թույլատրված, և՛ մերժված ուղի՝ ձեռքի տակ ունենալով վերականգնման ուղի։ Ցանկում անվան առկայությունը դրանցից ոչ մեկը չէ։