UFW қолданба профилі жоқ па? Ол қызметтерді емес, порттарды сипаттайды

UFW OpenSSH-ға сәйкес профиль таба алмайтынын айтады, ал себепті іздеу бірден SSH серверіне апарады. Бұл дұрыс емес бағыт: хабарлама атаулы firewall анықтамасы туралы және sshd орнатылғанын, жұмыс істеп тұрғанын немесе тыңдап тұрғанын білдірмейді. UFW қолданба профилі — белгісі бар порттар мен протоколдар тізімі. Анықтаманы оқуға бір пәрмен жетеді және әдетте зерттеу сонда аяқталады.

1-қадам: UFW шын мәнінде білетін атауларды тізіңіз

Біреуіне рұқсат беруді сұрамас бұрын firewall-дан қандай атаулары бар екенін сұраңыз. Тізім осы машинада орнатылған профильдерден келеді, сондықтан жоқ атау осы жүйе туралы факт, қорғамақ болған бағдарлама туралы емес. Егер атау бар болса, қате теру қатесінен немесе shell тарихындағы ескі бүркеншік аттан келген.

ufw app list
ufw app info OpenSSH

Әдепкі орнатуда тізім қысқа, ал атаулар пакет атаулары емес. openssh-server пакеті орнатылған кезде OpenSSH атаулы профиль болмауы мүмкін, керісінше де мүмкін. Тізім басып шығаратын нақты атауды пайдаланыңыз; ұқсас жазылымды VPN профилінің атауы немесе жұмыс үстелінің іске қосқышы UFW қолданба профилі емес. Қалаған атау жоқ болса, бұл — қорытынды, ал келесі қадам оны ненің қамтамасыз етуі керектігін қарау.

2-қадам: белгіні емес, анықтаманы оқыңыз

Профиль — /etc/ufw/applications.d астындағы INI үлгісіндегі файл, онда атау, тақырып, сипаттама және порттар өрісі бар. Порттар өрісі бірнеше порт пен тасымалды тізіп көрсете алады, сондықтан белгі анықтамадан аз айтады. UFW нұсқаулығы осы өрістерді және қолданбаларды жаңарту операциясын құжаттайды. Атау бір таныс портты білдіреді деп есептеудің орнына файлды оқыңыз.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Құрамында 22/tcp бар анықтама TCP 22 портын сипаттайды, басқа ештеңе емес. Бұл осы машинадағы демонның сонда тыңдап тұрғанын дәлелдемейді және кейін қосқан екінші портты қамтымайды. Егер демон басқа жерде жұмыс істесе, атауы өнімге сәйкес келсе де, профиль — қате рұқсат. Екеуінің біреуіне рұқсат бермес бұрын тыңдаушыны анықтамамен салыстырыңыз.

ss -ltnp 'sport = :22'

Анықтама мен тыңдаушы сәйкес келмесе, тоқтаңыз. Ешкім тыңдамайтын портты атайтын профильге рұқсат беру ілгерілеуге ұқсайтын, бірақ ештеңені қорғамайтын ереже жасайды.

3-қадам: профильді жұмыс істеп тұрған қызметтен бөліңіз

Атаулы профильге рұқсат беру қызметті орнатпайды, іске қоспайды және конфигурацияламайды, ал жұмыс істеп тұрған қызметке қолжетімді болу үшін пакеттелген профиль қажет емес. Бұл — әртүрлі құралдарға тиесілі жеке шешімдер: пакет менеджері, қызмет менеджері және firewall. Оларды бір деп қарау — адамдардың символдық атау пайда болуы үшін қажетсіз сервер орнату тәсілі.

VPN сервері үшін бөліну сыртқы тыңдаушыға рұқсат берілгеннен кейін де жалғасады. Шифрланған тасымал портына рұқсат ядроның жіберілуін қоспайды, NAT ережесін қоспайды және туннель пайдаланушыларына LAN-ға қатынау бермейді. Олардың әрқайсысы өз тексерісі бар жеке саясат. VPN өнімінің атымен аталған профиль тек өзі тізіп көрсеткен порттарды сипаттайды, ал сервер конфигурациясының қалғаны әлі де сізге жазулы.

Профиль жоқ болса және ол керек болса, тексерілген нақты порт ережесі немесе applications.d астындағы жергілікті профиль — екеуі де заңды. Қаламаған пакетті орнату олай емес.

4-қадам: firewall-ды қайта жүктемес бұрын қайту жолын сақтаңыз

Кез келген ереже өзгерісінің алдында машинаға екінші жолыңыз бар екенін растаңыз: консоль, жолақтан тыс мекенжай немесе жоспарланған кері қайтару. Содан кейін ережелер жиыны мен әдепкі саясатты оқыңыз, өйткені SSH ережесіз әдепкі бас тарту — сынақ кезінде өзіңізді сыртқа құлыптаудың классикалық жолы. Бір уақытта бір ережені өзгертіп, UFW басып шығаратын растауды оқыңыз. Сақталған ереже, белсенді ереже және қолжетімді қызмет — үш түрлі бақылау.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Өзгерістен кейін рұқсат етілген қосылымды және әлі де қабылданбауы керек бір жолды сынаңыз. Бас тарту сынағы рұқсат сынағы сияқты маңызды, өйткені ойлағаннан кең ереже бірінші сынақтан өтіп, екіншісінде құлайды. Профиль атауын, оның құрамындағы порттарды және тексерген тыңдаушыңызды жазып алыңыз.

Тексеру тізімі атау бар болғанда немесе әдейі ауыстырылғанда, анықтама нақты тыңдаушыға сәйкес келгенде, қызмет бөлек басқарылғанда және қолыңызда қалпына келтіру жолымен рұқсат етілген мен қабылданбаған жолды сынағанда аяқталады. Тізімдегі атаудың болуы — осылардың ешқайсысы емес.