Trūkst UFW lietotnes profila? Tas apraksta portus, ne pakalpojumus

UFW saka, ka nevar atrast OpenSSH atbilstošu profilu, un cēloņa meklēšana ved tieši pie SSH servera. Tas ir nepareizais virziens: ziņojums ir par nosauktu ugunsmūra definīciju un neko nepasaka par to, vai sshd ir instalēts, darbojas vai klausās. UFW lietotnes profils ir portu un protokolu saraksts ar etiķeti. Definīcijas izlasīšana aizņem vienu komandu un parasti beidz izmeklēšanu.

Solis 1: uzskaitiet nosaukumus, ko UFW patiešām zina

Pirms lūdzat atļaut kādu no tiem, pajautājiet ugunsmūrim, kādi nosaukumi tam ir. Saraksts nāk no šajā mašīnā instalētajiem profiliem, tāpēc trūkstošs nosaukums ir fakts par šo sistēmu, nevis par programmatūru, ko mēģinājāt aizsargāt. Ja nosaukums ir, kļūda radusies no drukas kļūdas vai novecojuša aizstājvārda jūsu čaulas vēsturē.

ufw app list
ufw app info OpenSSH

Noklusējuma instalācijā saraksts ir īss, un nosaukumi nav pakotņu nosaukumi. Profils ar nosaukumu OpenSSH var trūkt, kamēr pakotne openssh-server ir instalēta, un arī pretējais ir iespējams. Izmantojiet precīzo nosaukumu, ko izdrukā saraksts; līdzīga rakstība VPN profila nosaukumam vai darbvirsmas palaidējam nav UFW lietotnes profils. Ja vēlamais nosaukums trūkst, tas ir atradums, un nākamais solis ir paskatīties, kam tas būtu jānodrošina.

Solis 2: lasiet definīciju, nevis etiķeti

Profils ir INI stila fails /etc/ufw/applications.d mapē, ar nosaukumu, virsrakstu, aprakstu un portu lauku. Portu lauks var uzskaitīt vairākus portus un transportus, tāpēc etiķete pasaka mazāk nekā definīcija. UFW rokasgrāmata dokumentē šos laukus un lietotņu atjaunināšanas darbību. Lasiet failu, nevis pieņemiet, ka nosaukums nozīmē vienu pazīstamu portu.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Definīcija, kas satur 22/tcp, apraksta TCP 22 portu un neko citu. Tā nepierāda, ka šīs mašīnas dēmons tur klausās, un neaptver otru portu, ko vēlāk pievienojāt. Ja dēmons darbojas citur, profils ir nepareiza atļauja, pat ja tā nosaukums atbilst produktam. Salīdziniet klausītāju ar definīciju, pirms atļaujat kādu no tiem.

ss -ltnp 'sport = :22'

Apstājieties, ja definīcija un klausītājs nesakrīt. Atļaujot profilu, kas nosauc portu, kurā neviens neklausās, tiek izveidots noteikums, kas izskatās pēc progresa un neko neaizsargā.

Solis 3: atdaliet profilu no darbojošā pakalpojuma

Nosaukta profila atļaušana neinstalē, nepalaiž un nekonfigurē pakalpojumu, un darbojošam pakalpojumam nav vajadzīgs iepakots profils, lai būtu sasniedzams. Tie ir atsevišķi lēmumi, kas pieder dažādiem rīkiem: pakotņu pārvaldniekam, pakalpojumu pārvaldniekam un ugunsmūrim. To uzskatīšana par vienu ir veids, kā cilvēki instalē nevēlamu serveri, lai parādītos simbolisks nosaukums.

VPN serverim atdalīšana turpinās pēc ārējā klausītāja atļaušanas. Šifrētā transporta porta atļauja neieslēdz kodola pāradresāciju, nepievieno NAT noteikumu un nedod tuneļa lietotājiem piekļuvi LAN. Katrs no tiem ir atsevišķa politika ar savu pārskatīšanu. Profils, kas nosaukts VPN produkta vārdā, apraksta tikai tos portus, kurus tas uzskaita, un pārējā servera konfigurācija joprojām ir jāraksta jums.

Ja profils trūkst un tas ir vajadzīgs, pārskatīts skaidrs porta noteikums vai vietējs profils applications.d mapē abi ir likumīgi. Nevēlamas pakotnes instalēšana nav.

Solis 4: saglabājiet atgriešanās ceļu pirms ugunsmūra pārlades

Pirms jebkuras noteikuma izmaiņas pārliecinieties, ka jums ir otrs ceļš uz mašīnu: konsole, ārpusjoslas adrese vai ieplānota atritināšana. Pēc tam izlasiet noteikumu kopu un noklusējuma politiku, jo noklusējuma liegums bez SSH noteikuma ir klasiskais veids, kā testēšanas laikā sevi izslēgt. Mainiet vienu noteikumu vienlaikus un lasiet apstiprinājumu, ko izdrukā UFW. Saglabāts noteikums, aktīvs noteikums un sasniedzams pakalpojums ir trīs dažādi novērojumi.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Pēc izmaiņas pārbaudiet atļauto savienojumu un vienu ceļu, kam vēl joprojām jābūt liegtam. Lieguma tests ir tikpat svarīgs kā atļaujas tests, jo plašāks par paredzēto noteikums iztur pirmo testu un neiztur otro. Pierakstiet profila nosaukumu, tajā esošos portus un klausītāju, pret kuru pārbaudījāt.

Kontrolsaraksts beidzas, kad nosaukums ir vai to apzināti aizstāj, definīcija atbilst īstajam klausītājam, pakalpojums tiek pārvaldīts atsevišķi, un esat pārbaudījis gan atļauto, gan liegto ceļu, rokā turot atkopšanas ceļu. Nosaukums sarakstā nav neviens no šiem.