Trūksta UFW programos profilio? Jis aprašo prievadus, o ne paslaugas

UFW praneša, kad neranda OpenSSH atitinkančio profilio, o priežasties paieška veda tiesiai prie SSH serverio. Tai neteisinga kryptis: pranešimas yra apie įvardytą ugniasienės apibrėžtį ir nieko nesako apie tai, ar sshd įdiegtas, veikia ar klausosi. UFW programos profilis yra prievadų ir protokolų sąrašas su etikete. Apibrėžties perskaitymas užima vieną komandą ir paprastai baigia tyrimą.

1 žingsnis: išvardykite vardus, kuriuos UFW tikrai žino

Prieš prašydami leisti vieną, paklauskite ugniasienės, kokius vardus ji turi. Sąrašas gaunamas iš šioje mašinoje įdiegtų profilių, todėl trūkstamas vardas yra faktas apie šią sistemą, o ne apie programinę įrangą, kurią bandėte apsaugoti. Jei vardas yra, klaida kilo dėl rašybos klaidos arba pasenusio slapyvardžio jūsų shell istorijoje.

ufw app list
ufw app info OpenSSH

Numatytoje diegimo versijoje sąrašas trumpas, o vardai nėra paketų vardai. Profilis pavadinimu OpenSSH gali trūkti, kai paketas openssh-server yra įdiegtas, ir atvirkščiai taip pat įmanoma. Naudokite tikslų vardą, kurį išspausdina sąrašas; panašios rašybos VPN profilio vardas arba darbalaukio paleidiklis nėra UFW programos profilis. Jei norimo vardo nėra, tai ir yra išvada, o kitas žingsnis — pažiūrėti, kas turėtų jį pateikti.

2 žingsnis: skaitykite apibrėžtį, o ne etiketę

Profilis yra INI stiliaus failas /etc/ufw/applications.d kataloge, turintis vardą, pavadinimą, aprašymą ir prievadų lauką. Prievadų laukas gali išvardyti kelis prievadus ir transportus, todėl etiketė pasako mažiau nei apibrėžtis. UFW vadove aprašyti šie laukai ir programų atnaujinimo operacija. Skaitykite failą, o ne manykite, kad vardas reiškia vieną pažįstamą prievadą.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Apibrėžtis su 22/tcp aprašo TCP 22 prievadą ir nieko daugiau. Ji neįrodo, kad šios mašinos tarnyba ten klausosi, ir neapima antro prievado, kurį pridėjote vėliau. Jei tarnyba veikia kitur, profilis yra neteisinga teisė, net jei jo vardas atitinka produktą. Palyginkite klausytoją su apibrėžtimi prieš leisdami bet kurį iš jų.

ss -ltnp 'sport = :22'

Sustokite, jei apibrėžtis ir klausytojas nesutampa. Leidus profilį, kuris nurodo prievadą, kuriame niekas neklauso, sukuriama taisyklė, kuri atrodo kaip pažanga ir nieko neapsaugo.

3 žingsnis: atskirkite profilį nuo veikiančios paslaugos

Įvardyto profilio leidimas neįdiegia, nepaleidžia ir nesukonfigūruoja paslaugos, o veikiančiai paslaugai nereikia supakuoto profilio, kad būtų pasiekiama. Tai atskiri sprendimai, priklausantys skirtingiems įrankiams: paketų tvarkytuvei, paslaugų tvarkytuvei ir ugniasienei. Jų traktavimas kaip vieno yra būdas, kuriuo žmonės įdiegia nepageidaujamą serverį, kad pasirodytų simbolinis vardas.

VPN serveriui atskyrimas tęsiasi po to, kai išorinis klausytojas leidžiamas. Šifruoto transporto prievado leidimas neįjungia branduolio persiuntimo, neprideda NAT taisyklės ir nesuteikia tunelio naudotojams prieigos prie LAN. Kiekvienas iš jų yra atskira politika su savo peržiūra. VPN produkto vardu pavadintas profilis aprašo tik jo išvardytus prievadus, o likusią serverio konfigūraciją vis dar turite parašyti jūs.

Jei profilio trūksta ir jo reikia, peržiūrėta aiški prievado taisyklė arba vietinis profilis applications.d kataloge abu yra teisėti. Įdiegti paketą, kurio nenorėjote, nėra.

4 žingsnis: pasilikite kelią atgal prieš perkraudami ugniasienę

Prieš bet kokį taisyklės pakeitimą įsitikinkite, kad turite antrą kelią į mašiną: konsolę, už juostos esantį adresą arba suplanuotą atsukimą. Tada perskaitykite taisyklių rinkinį ir numatytąją politiką, nes numatytasis draudimas be SSH taisyklės yra klasikinis būdas bandymų metu užsirakinti lauke. Keiskite po vieną taisyklę ir skaitykite patvirtinimą, kurį spausdina UFW. Išsaugota taisyklė, aktyvi taisyklė ir pasiekiama paslauga yra trys skirtingi stebėjimai.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Po pakeitimo išbandykite leistą ryšį ir vieną kelią, kuris turėtų likti uždraustas. Draudimo testas svarbus tiek pat, kiek leidimo, nes platesnė nei numatyta taisyklė praeina pirmą testą ir nepraeina antro. Užrašykite profilio vardą, jame buvusius prievadus ir klausytoją, su kuriuo tikrinote.

Kontrolinis sąrašas baigiasi, kai vardas yra arba sąmoningai pakeistas, apibrėžtis atitinka tikrą klausytoją, paslauga tvarkoma atskirai, ir išbandėte tiek leistą, tiek uždraustą kelią, rankoje turėdami atkūrimo kelią. Vardas sąraše nėra nė vienas iš šių dalykų.