UFW-App-Profil feelt? En beschreift Porten, net Servicer

UFW seet, et fënnt kee Profil dee mat OpenSSH iwwereenstemmt, an d'Sich no enger Ursaach féiert direkt op den SSH-Server. Dat ass déi falsch Richtung: d'Noriicht geet ëm eng benannt Firewall-Definitioun an seet näischt doriwwer, ob sshd installéiert ass, leeft oder lauschtert. En UFW-App-Profil ass eng Lëscht vu Porten a Protokollen mat engem Label. D'Definitioun ze liesen kascht eng Kommando an hält d'Enquête meeschtens op.

Schrëtt 1: lëscht d'Nimm op, déi UFW wierklech kennt

Frot d'Firewall, wéi eng Nimm si huet, ier Dir si frot een zouzeloossen. D'Lëscht kënnt vun de Profilen, déi op dëser Maschinn installéiert sinn, en fehlenden Numm ass also eng Tatsaach iwwer dëst System an net iwwer d'Software, déi Dir versicht hutt ze schützen. Wann den Numm do ass, koum de Feeler vun engem Tippfeeler oder engem ale Alias an Ärer Shell-Historie.

ufw app list
ufw app info OpenSSH

D'Lëscht ass bei enger Standardinstallatioun kuerz, an d'Nimm sinn net Paketnimm. En Profil mam Numm OpenSSH ka feelen, während de Paket openssh-server installéiert ass, an ëmgedréit ass et och méiglech. Benotzt den exakten Numm, den d'Lëscht dréckt; en VPN-Profilnumm oder en Desktop-Starter mat ähnlecher Schreifweis ass keen UFW-App-Profil. Wann den Numm, deen Dir wëllt, feelt, ass dat de Befund, an den nächste Schrëtt ass ze kucken, wat en sollte liwweren.

Schrëtt 2: liest d'Definitioun, net de Label

En Profil ass eng Datei am INI-Stil ënner /etc/ufw/applications.d, mat engem Numm, engem Titel, enger Beschreiwung an engem Porten-Feld. D'Porten-Feld kann e puer Porten an Transporten oplëschten, also seet de Label manner wéi d'Definitioun. D'UFW-Handbuch dokumentéiert dës Felder an d'Operatioun fir Applikatiounen ze aktualiséieren. Liest d'Datei amplaz unzehuelen, den Numm bedeit een bekannten Port.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Eng Definitioun mat 22/tcp beschreift den TCP-Port 22 an soss näischt. Si beweist net, datt den Daemon op dëser Maschinn do lauschtert, an si deckt keen zweete Port of, deen Dir spéider bäigefüügt hutt. Wann den Daemon soss anzwousch leeft, ass de Profil déi falsch Erlaabnes, och wann säin Numm zum Produkt passt. Vergläicht den Lauschterer mat der Definitioun, ier Dir ee vun deenen zwee erlaabt.

ss -ltnp 'sport = :22'

Stopp, wann d'Definitioun an de Lauschterer net iwwerenee stëmmen. En Profil zouzeloossen, deen e Port nennt op deem keen lauschtert, schaaft eng Regel déi no Fortschrëtt ausgesäit an näischt schützt.

Schrëtt 3: trennt de Profil vum lafende Service

En benannte Profil zouzeloossen installéiert, startet oder konfiguréiert den Service net, an e lafende Service brauch kee verpakte Profil fir erreechbar ze sinn. Dat sinn getrennt Entscheedungen, déi verschiddenen Instrumenter gehéieren: dem Paketmanager, dem Servicemanager an der Firewall. Si als eng ze behandelen ass de Wee, wéi Leit en ongewollte Server installéieren, fir datt en symboleschen Numm erschéngt.

Bei engem VPN-Server geet d'Trennung weider, nodeems den äussere Lauschterer erlaabt ass. D'Erlaabnes fir de Port vum verschlësselten Transport aktivéiert keng Kernel-Weiderleedung, füügt keng NAT-Regel bäi a gëtt Tunnelbenotzer keen Zougang zu engem LAN. Jiddereen dovun ass eng separat Politik mat hirer eegener Iwwerpréiwung. En Profil, deen nom VPN-Produkt benannt ass, beschreift nëmmen d'Porten, déi en oplëscht, an de Rescht vun der Serverkonfiguratioun ass nach ëmmer Ären ze schreiwen.

Wann de Profil feelt an Dir een braucht, sinn eng iwwerpréift explizit Portregel oder en lokale Profil ënner applications.d allebéid legitim. En Paket ze installéieren, deen Dir net wollt, ass et net.

Schrëtt 4: behält en Wee zréck, ier Dir d'Firewall nei lued

Ier Dir eng Regel ännert, bestätegt, datt Dir en zweeten Wee an d'Maschinn hutt: eng Konsole, eng Adress ausserhalb vum Band oder en agestallte Retour. Liest dann de Reegelsatz an d'Standardpolitik, well en Standard-Refus ouni SSH-Regel ass de klassesche Wee, sech beim Testen auszespaeren. Ännert eng Regel op eemol a liest d'Bestätegung, déi UFW dréckt. Eng gespäichert Regel, eng aktiv Regel an en erreechbare Service sinn dräi verschidden Observatiounen.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Test nom Ännerung déi erlaabte Verbindung an ee Wee, dee weiderhi refuséiert soll ginn. Den Refus-Test zielt esou vill wéi den Erlaabnes-Test, well eng Regel déi méi breet ass wéi geduecht den éischten Test besteet an den zweeten net. Notéiert den Profilnumm, d'Porten déi en enthält an den Lauschterer, géint deen Dir verifizéiert hutt.

D'Checklëscht endet, wann den Numm existéiert oder bewosst ersat ass, d'Definitioun zum echte Lauschterer passt, de Service getrennt verwalt gëtt, an Dir souwuel en erlaabten wéi och en refuséierte Wee getest hutt, mat engem Erhuelungswee an der Hand. En Numm an der Lëscht ass kee vun deenen.