Недостасува профил на апликација во UFW? Тој опишува порти, не услуги

UFW вели дека не може да најде профил што одговара на OpenSSH, а потрагата по причина оди право кон SSH серверот. Тоа е погрешна насока: пораката се однесува на именувана дефиниција на огнен ѕид и не кажува ништо за тоа дали sshd е инсталиран, работи или слуша. Профилот на апликација во UFW е список на порти и протоколи со ознака. Читањето на дефиницијата бара една наредба и обично ја завршува истрагата.

Чекор 1: наведете ги имињата што UFW навистина ги знае

Прашајте го огнениот ѕид кои имиња ги има пред да побарате да дозволи едно. Списокот доаѓа од профилите инсталирани на оваа машина, така што името што недостасува е факт за овој систем, а не за софтверот што сте се обидувале да го заштитите. Ако името е присутно, грешката дошла од печатна грешка или застарена кратенка во историјата на вашата обвивка.

ufw app list
ufw app info OpenSSH

Списокот е краток при стандардна инсталација, а имињата не се имиња на пакети. Профил по име OpenSSH може да недостасува додека пакетот openssh-server е инсталиран, а можно е и обратното. Користете го точното име што го печати списокот; име на VPN профил или стартер на работна површина со сличен правопис не е профил на апликација во UFW. Ако името што го сакате недостасува, тоа е наодот, а следниот чекор е да се види што треба да го обезбеди.

Чекор 2: читајте ја дефиницијата, не ознаката

Профилот е датотека во INI стил под /etc/ufw/applications.d, со име, наслов, опис и поле за порти. Полето за порти може да наведе неколку порти и транспорти, така што ознаката ви кажува помалку од дефиницијата. Прирачникот на UFW ги документира овие полиња и операцијата за ажурирање на апликации. Читајте ја датотеката наместо да претпоставувате дека името значи една позната порта.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Дефиниција што содржи 22/tcp опишува TCP порта 22 и ништо друго. Таа не докажува дека демонот на оваа машина слуша таму и не покрива втора порта што сте ја додале подоцна. Ако демонот работи на друго место, профилот е погрешна дозвола, дури и ако името му се совпаѓа со производот. Споредете го слушателот со дефиницијата пред да дозволите која било од нив.

ss -ltnp 'sport = :22'

Запрете ако дефиницијата и слушателот не се совпаѓаат. Дозволувањето на профил што именува порта на која никој не слуша создава правило што изгледа како напредок и не штити ништо.

Чекор 3: одвојте го профилот од услугата што работи

Дозволувањето именуван профил не ја инсталира, стартува или конфигурира услугата, а услугата што работи не бара спакуван профил за да биде достапна. Тоа се одделни одлуки што ги поседуваат различни алатки: менаџерот на пакети, менаџерот на услуги и огнениот ѕид. Нивното третирање како едно е начинот на кој луѓето инсталираат непосакуван сервер за да се појави симболично име.

За VPN сервер одвојувањето продолжува откако надворешниот слушател е дозволен. Дозволата за портата на шифрираниот транспорт не го вклучува препраќањето во јадрото, не додава NAT правило и не им дава на корисниците на тунелот пристап до LAN. Секое од нив е одделна политика со сопствен преглед. Профил именуван по VPN производот опишува само портите што ги наведува, а остатокот од конфигурацијата на серверот сѐ уште е ваше да го напишете.

Ако профилот недостасува и ви треба, прегледано јасно правило за порта или локален профил под applications.d се двете легитимни. Инсталирањето пакет што не сте го сакале не е.

Чекор 4: запазете пат за враќање пред повторно да го вчитате огнениот ѕид

Пред секоја промена на правило, потврдете дека имате втор пат во машината: конзола, адреса надвор од опсегот или закажано враќање. Потоа прочитајте го множеството правила и стандардната политика, бидејќи стандардното одбивање без правило за SSH е класичниот начин да се заклучите надвор за време на тестирањето. Менувајте по едно правило и читајте го потврдувањето што го печати UFW. Зачувано правило, активно правило и достапна услуга се три различни набљудувања.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

По промената тестирајте ја дозволената врска и еден пат што треба да остане одбиен. Тестот за одбивање е важен колку и тестот за дозвола, бидејќи правило пошироко од предвиденото го поминува првиот тест и паѓа на вториот. Запишете го името на профилот, портите што ги содржел и слушателот спрема кој сте провериле.

Контролната листа завршува кога името постои или е намерно заменето, дефиницијата одговара на вистинскиот слушател, услугата се управува одделно и сте тестирале и дозволен и одбиен пат со пат за возобновување при рака. Име на списокот не е ниту едно од тие.