UFW програмын профайл байхгүй юу? Энэ нь үйлчилгээ биш, портуудыг тодорхойлдог

UFW OpenSSH-т тохирох профайл олдохгүй гэж мэдэгддэг бөгөөд шалтгааны эрэлт шууд SSH сервер рүү хүрдэг. Энэ нь буруу чиглэл юм: мессеж нь нэртэй firewall тодорхойлолтын тухай бөгөөд sshd суулгасан, ажиллаж байгаа эсвэл сонсож байгаа эсэхийг юу ч хэлэхгүй. UFW програмын профайл нь шошготой порт ба протоколуудын жагсаалт юм. Тодорхойлолтыг уншихад нэг команд хангалттай бөгөөд ихэвчлэн мөрдөн шалгалт тэнд дуусдаг.

1-р алхам: UFW үнэхээр мэддэг нэрсийг жагсаа

Нэгийг зөвшөөрөхийг хүсэхээс өмнө firewall-аас ямар нэрстэйгээ асуугаарай. Жагсаалт энэ машинд суулгасан профайлуудаас ирдэг тул байхгүй нэр нь энэ системийн тухай баримт бөгөөд таны хамгаалахыг оролдсон програмын тухай биш юм. Хэрэв нэр байгаа бол алдаа нь бичгийн алдаа эсвэл таны shell-ийн түүх дэх хуучин нэрээс ирсэн.

ufw app list
ufw app info OpenSSH

Анхдагч суулгацад жагсаалт богино бөгөөд нэрс нь багцын нэр биш. openssh-server багц суулгасан байхад OpenSSH нэртэй профайл байхгүй байж болно, мөн эсрэгээр боломжтой. Жагсаалтын хэвлэсэн яг нэрийг ашигла; ижил төстэй бичиглэлтэй VPN профайлын нэр эсвэл ширээний компьютер лаунчер нь UFW програмын профайл биш. Хэрэв хүссэн нэр байхгүй бол энэ нь дүгнэлт бөгөөд дараагийн алхам нь үүнийг юу хангах ёстойг харах явдал юм.

2-р алхам: шошгыг биш, тодорхойлолтыг унш

Профайл нь /etc/ufw/applications.d доорх INI хэв маягийн файл бөгөөд нэр, гарчиг, тайлбар, портын талбартай. Портын талбар олон порт ба тээврийг жагсааж болох тул шошго тодорхойлолтоос бага мэдээлдэг. UFW гарын авлага эдгээр талбар болон програмыг шинэчлэх үйлдлийг баримтжуулсан. Нэр нь нэг танил портыг илэрхийлнэ гэж таамаглахын оронд файлыг унш.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

22/tcp агуулсан тодорхойлолт нь TCP 22 портыг тодорхойлдог, өөр юу ч биш. Энэ нь машинд ажиллаж буй демон тэнд сонсож байгааг батлахгүй бөгөөд дараа нь нэмсэн хоёр дахь портыг хамардаггүй. Хэрэв демон өөр газар ажиллаж байвал нэр нь бүтээгдэхүүнтэй таарч байсан ч профайл нь буруу зөвшөөрөл юм. Аль нэгийг нь зөвшөөрөхөөс өмнө сонсогчийг тодорхойлолттой харьцуул.

ss -ltnp 'sport = :22'

Тодорхойлолт ба сонсогч таарахгүй бол зогсоо. Хэн ч сонсохгүй портыг нэрлэсэн профайлыг зөвшөөрөх нь ахиц мэт харагдах боловч юуг ч хамгаалахгүй дүрэм үүсгэдэг.

3-р алхам: профайлыг ажиллаж буй үйлчилгээнээс тусгаарла

Нэртэй профайлыг зөвшөөрөх нь үйлчилгээг суулгах, эхлүүлэх, тохируулахгүй бөгөөд ажиллаж буй үйлчилгээ хүрэх боломжтой байхын тулд багцлагдсан профайл шаарддаггүй. Эдгээр нь өөр өөр хэрэгслүүдийн эзэмшдэг тусдаа шийдвэрүүд юм: багц менежер, үйлчилгээний менежер, firewall. Тэдгээрийг нэг гэж үзэх нь хүмүүс хүсээгүй серверийг суулгаж, бэлгэдлийн нэр гаргах арга юм.

VPN серверийн хувьд гадаад сонсогчийг зөвшөөрсний дараа ч тусгаарлалт үргэлжилнэ. Шифрлэгдсэн тээврийн портын зөвшөөрөл нь цөмийн дамжуулалтыг идэвхжүүлэхгүй, NAT дүрэм нэмэхгүй, туннелийн хэрэглэгчдэд LAN-д нэвтрэх эрх өгөхгүй. Эдгээр бүр нь өөрийн хяналт бүхий тусдаа бодлого юм. VPN бүтээгдэхүүний нэрээр нэрлэгдсэн профайл нь зөвхөн жагсаасан портуудыг тодорхойлдог бөгөөд серверийн тохиргооны үлдсэн хэсгийг та өөрөө бичих ёстой.

Профайл байхгүй бөгөөд нэг хэрэгтэй бол хянасан тодорхой портын дүрэм эсвэл applications.d доорх локал профайл хоёулаа хууль ёсны. Хүсээгүй багцыг суулгах нь тийм биш.

4-р алхам: firewall-ыг дахин ачаалахаас өмнө буцах замаа хадгал

Аливаа дүрэм өөрчлөхөөс өмнө машин руу орох хоёр дахь зам байгаа эсэхийг батал: консол, зурвасаас гадуурх хаяг эсвэл төлөвлөсөн буцаалт. Дараа нь дүрмийн багц ба анхдагч бодлогыг унш, учир нь SSH дүрэмгүй анхдагч татгалзал нь туршилтын үеэр өөрийгөө гадаа түгжих сонгодог арга юм. Нэг удаад нэг дүрэм өөрчилж, UFW-ийн хэвлэсэн баталгаажуулалтыг унш. Хадгалсан дүрэм, идэвхтэй дүрэм, хүрч болох үйлчилгээ нь гурван өөр ажиглалт юм.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Өөрчлөлтийн дараа зөвшөөрөгдсөн холболт ба татгалзагдсаар байх ёстой нэг замыг турш. Татгалзалтын туршилт нь зөвшөөрлийн туршилттай адил чухал, учир нь санаж байснаас өргөн дүрэм эхний туршилтыг давж, хоёр дахьд нь унадаг. Профайлын нэр, түүнд байсан портууд, шалгасан сонсогчийг тэмдэглэ.

Нэр байгаа эсвэл санаатайгаар солигдсон, тодорхойлолт бодит сонсогчтой тохирч, үйлчилгээ тусдаа удирдагдаж, гартаа сэргээх замтайгаар зөвшөөрөгдсөн ба татгалзагдсан хоёр замыг туршсан үед хяналтын хуудас дуусна. Жагсаалтад нэр байх нь эдгээрийн аль нь ч биш юм.