Vantar UFW-forritssnið? Það lýsir portum, ekki þjónustum

UFW segir að það finni ekki snið sem passar við OpenSSH, og leitin að orsök liggur beint að SSH-þjóninum. Það er röng stefna: skilaboðin snúast um nefnda skilgreiningu eldveggjar og segja ekkert um hvort sshd sé uppsett, í gangi eða hlusti. UFW-forritssnið er listi yfir port og samskiptareglur með merkimiða. Að lesa skilgreininguna tekur eina skipun og endar venjulega rannsóknina.

Skref 1: teldu upp nöfnin sem UFW þekkir í raun

Spurðu eldvegginn hvaða nöfn hann hefur áður en þú biður hann að leyfa eitt. Listinn kemur frá sniðunum sem eru uppsett á þessari vél, svo nafn sem vantar er staðreynd um þetta kerfi en ekki um hugbúnaðinn sem þú reyndir að vernda. Ef nafnið er til kom villan frá innsláttarvillu eða úreltu samnefni í sögu skeljarinnar þinnar.

ufw app list
ufw app info OpenSSH

Listinn er stuttur í sjálfgefinni uppsetningu, og nöfnin eru ekki pakkanöfn. Snið sem heitir OpenSSH getur vantað þótt pakkinn openssh-server sé uppsettur, og hið gagnstæða er líka mögulegt. Notaðu nákvæmlega það nafn sem listinn prentar; nafn VPN-sniðs eða skrifborðsræsir með svipaða stafsetningu er ekki UFW-forritssnið. Ef nafnið sem þú vilt vantar er það niðurstaðan, og næsta skref er að skoða hvað ætti að útvega það.

Skref 2: lestu skilgreininguna, ekki merkimiðann

Snið er skrá í INI-stíl undir /etc/ufw/applications.d, með nafni, titli, lýsingu og portasviði. Portasviðið getur talið upp nokkur port og flutninga, svo merkimiðinn segir þér minna en skilgreiningin. UFW-handbókin skjalfestir þessi svið og aðgerðina að uppfæra forrit. Lestu skrána í stað þess að gera ráð fyrir að nafnið þýði eitt þekkt port.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Skilgreining sem inniheldur 22/tcp lýsir TCP-porti 22 og engu öðru. Hún sannar ekki að dæmoninn á þessari vél hlusti þar, og hún nær ekki yfir annað port sem þú bættir við síðar. Ef dæmoninn keyrir annars staðar er sniðið röng heimild þótt nafn þess passi við vöruna. Berðu saman hlustandann og skilgreininguna áður en þú leyfir hvort sem er.

ss -ltnp 'sport = :22'

Stoppaðu ef skilgreiningin og hlustandinn stangast á. Að leyfa snið sem nefnir port sem enginn hlustar á býr til reglu sem lítur út eins og framfarir og verndar ekkert.

Skref 3: aðskildu sniðið frá þjónustunni sem keyrir

Að leyfa nefnt snið setur ekki upp, ræsir ekki og stillir ekki þjónustuna, og þjónusta í gangi þarf ekki pökkuð snið til að vera aðgengileg. Þetta eru aðskildar ákvarðanir í eigu mismunandi verkfæra: pakkastjórans, þjónustustjórans og eldveggjarins. Að meðhöndla þær sem eina er leiðin sem fólk notar til að setja upp óæskilegan þjón svo að táknrænt nafn birtist.

Fyrir VPN-þjón heldur aðskilnaðurinn áfram eftir að ytri hlustandinn er leyfður. Heimild fyrir porti dulkóðaða flutningsins virkjar ekki kjarnaframsendingu, bætir ekki við NAT-reglu og veitir notendum göngunnar ekki aðgang að LAN. Hvert þessara er sérstök stefna með eigin endurskoðun. Snið sem heitir eftir VPN-vörunni lýsir aðeins portunum sem það telur upp, og afgangur stillingar þjónsins er enn þinn að skrifa.

Ef sniðið vantar og þú þarft eitt, eru endurskoðuð skýr portaregla eða staðbundið snið undir applications.d bæði lögmæt. Að setja upp pakka sem þú vildir ekki er það ekki.

Skref 4: hafðu leið til baka áður en þú hleður eldveggnum aftur

Fyrir hverja reglubreytingu skaltu staðfesta að þú hafir aðra leið inn í vélina: stjórnborð, bandlausa vistfang eða áætlaða afturrullingu. Lestu síðan reglusafnið og sjálfgefna stefnu, því sjálfgefið synjun án SSH-reglu er klassíska leiðin til að læsa sig úti meðan prófað er. Breyttu einni reglu í einu og lestu staðfestinguna sem UFW prentar. Vistuð regla, virk regla og aðgengileg þjónusta eru þrjár mismunandi athuganir.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Eftir breytinguna skaltu prófa leyfðu tenginguna og eina leið sem ætti enn að vera synjað. Synjunarprófið skiptir jafn miklu máli og leyfisprófið, því regla sem er breiðari en ætlað var stenst fyrra prófið og fellur á því síðara. Skráðu nafn sniðsins, portin sem það innihélt og hlustandann sem þú staðfestir gagnvart.

Listinn endar þegar nafnið er til eða hefur verið skipt út viljandi, skilgreiningin passar við raunverulega hlustandann, þjónustan er stýrð sérstaklega, og þú hefur prófað bæði leyfða og synjaða leið með endurheimtarleið við hönd. Nafn á listanum er ekkert af þessu.