UFW अ‍ॅप प्रोफाइल सापडत नाही? ते सेवा नाही, पोर्ट वर्णन करते

UFW म्हणते की त्याला OpenSSH शी जुळणारे प्रोफाइल सापडत नाही, आणि कारणाचा शोध सरळ SSH सर्व्हरकडे जातो। ती चुकीची दिशा आहे: संदेश नावाच्या फायरवॉल व्याख्येबद्दल आहे आणि sshd स्थापित आहे, चालू आहे किंवा ऐकत आहे याबद्दल काहीही सांगत नाही। UFW अ‍ॅप प्रोफाइल म्हणजे लेबल असलेली पोर्ट आणि प्रोटोकॉलची यादी। व्याख्या वाचायला एक आदेश पुरतो आणि सहसा तपासणी तिथेच संपते।

पायरी 1: UFW ला प्रत्यक्षात माहीत असलेली नावे यादी करा

एकाला परवानगी देण्यास सांगण्यापूर्वी फायरवॉलला त्याच्याकडे कोणती नावे आहेत ते विचारा। यादी या मशीनवर स्थापित प्रोफाइलमधून येते, म्हणून गहाळ नाव ही या प्रणालीबद्दलची गोष्ट आहे, तुम्ही संरक्षित करू पाहत होतात त्या सॉफ्टवेअरबद्दल नाही। नाव असल्यास, त्रुटी टायपिंग चुकीमुळे किंवा तुमच्या शेल इतिहासातील जुन्या उपनावामुळे आली आहे।

ufw app list
ufw app info OpenSSH

डीफॉल्ट स्थापनेत यादी लहान असते, आणि नावे पॅकेजची नावे नाहीत। openssh-server पॅकेज स्थापित असताना OpenSSH नावाचे प्रोफाइल गहाळ असू शकते, आणि उलटेही शक्य आहे। यादी जे अचूक नाव छापते तेच वापरा; सारखेच स्पेलिंग असलेले VPN प्रोफाइल नाव किंवा डेस्कटॉप लाँचर UFW अ‍ॅप प्रोफाइल नाही। तुम्हाला हवे असलेले नाव नसल्यास तोच निष्कर्ष आहे, आणि पुढची पायरी ते कशाने पुरवले पाहिजे हे पाहणे आहे।

पायरी 2: लेबल नाही, व्याख्या वाचा

प्रोफाइल /etc/ufw/applications.d अंतर्गत INI शैलीतील फाइल आहे, ज्यात नाव, शीर्षक, वर्णन आणि पोर्ट फील्ड असते। पोर्ट फील्ड अनेक पोर्ट आणि वाहतूक यादी करू शकते, म्हणून लेबल व्याख्येपेक्षा कमी सांगते। UFW मॅन्युअल ही फील्डे आणि अ‍ॅप्लिकेशन अद्ययावत करण्याची क्रिया दस्तऐवजीकरण करते। नावाचा अर्थ एक परिचित पोर्ट आहे असे गृहीत धरण्याऐवजी फाइल वाचा।

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

22/tcp असलेली व्याख्या TCP पोर्ट 22 चे वर्णन करते आणि दुसरे काही नाही। ती या मशीनवरील डेमन तिथे ऐकत आहे हे सिद्ध करत नाही, आणि तुम्ही नंतर जोडलेला दुसरा पोर्ट ती समाविष्ट करत नाही। डेमन दुसरीकडे चालत असल्यास, नाव उत्पादनाशी जुळत असूनही प्रोफाइल चुकीची परवानगी आहे। यापैकी कोणालाही परवानगी देण्यापूर्वी श्रोत्याची व्याख्येशी तुलना करा।

ss -ltnp 'sport = :22'

व्याख्या आणि श्रोता जुळत नसल्यास थांबा। कोणीही ऐकत नसलेल्या पोर्टचे नाव देणारे प्रोफाइल परवानगी देणे प्रगतीसारखे दिसणारा पण काहीही संरक्षित न करणारा नियम तयार करते।

पायरी 3: प्रोफाइलला चालू असलेल्या सेवेपासून वेगळे करा

नावाच्या प्रोफाइलला परवानगी देणे सेवा स्थापित, सुरू किंवा कॉन्फिगर करत नाही, आणि चालू असलेल्या सेवेला पोहोचण्यायोग्य होण्यासाठी पॅकेज केलेले प्रोफाइल लागत नाही। हे वेगवेगळ्या साधनांच्या मालकीचे स्वतंत्र निर्णय आहेत: पॅकेज व्यवस्थापक, सेवा व्यवस्थापक आणि फायरवॉल। यांना एक मानणे म्हणजे लोक प्रतीकात्मक नाव दिसण्यासाठी नको असलेला सर्व्हर स्थापित करतात ते मार्ग।

VPN सर्व्हरसाठी बाहेरील श्रोत्याला परवानगी दिल्यानंतरही विभाजन सुरू राहते। एन्क्रिप्टेड ट्रान्सपोर्ट पोर्टची परवानगी कर्नल फॉरवर्डिंग सक्षम करत नाही, NAT नियम जोडत नाही आणि टनेल वापरकर्त्यांना LAN मध्ये प्रवेश देत नाही। यापैकी प्रत्येक स्वतःच्या पुनरावलोकनासह स्वतंत्र धोरण आहे। VPN उत्पादनाच्या नावाने असलेले प्रोफाइल फक्त त्यात यादी केलेल्या पोर्टचे वर्णन करते, आणि सर्व्हर कॉन्फिगरेशनचा उर्वरित भाग अजूनही तुम्हाला लिहायचा आहे।

प्रोफाइल नसल्यास आणि एक हवे असल्यास, पुनरावलोकन केलेला स्पष्ट पोर्ट नियम किंवा applications.d अंतर्गत स्थानिक प्रोफाइल दोन्ही वैध आहेत। नको असलेले पॅकेज स्थापित करणे वैध नाही।

पायरी 4: फायरवॉल पुन्हा लोड करण्यापूर्वी परतीचा मार्ग ठेवा

कोणत्याही नियम बदलापूर्वी मशीनमध्ये तुमचा दुसरा मार्ग आहे याची खात्री करा: कन्सोल, आउट-ऑफ-बँड पत्ता किंवा नियोजित रोलबॅक। नंतर नियमसंच आणि डीफॉल्ट धोरण वाचा, कारण SSH नियमाशिवाय डीफॉल्ट नकार हा चाचणीत स्वतःला बाहेर कुलूप लावण्याचा क्लासिक मार्ग आहे। एका वेळी एक नियम बदला आणि UFW जो पुष्टी छापते ती वाचा। जतन केलेला नियम, सक्रिय नियम आणि पोहोचण्यायोग्य सेवा या तीन वेगळ्या निरीक्षणे आहेत।

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

बदलानंतर परवानगी दिलेले कनेक्शन आणि अजूनही नकारले पाहिजे असलेला एक मार्ग तपासा। नकाराची चाचणी परवानगीच्या चाचणीइतकीच महत्त्वाची आहे, कारण हेतूपेक्षा रुंद नियम पहिल्या चाचणीत उत्तीर्ण होतो आणि दुसऱ्यात अपयशी ठरतो। प्रोफाइलचे नाव, त्यात असलेले पोर्ट आणि तुम्ही ज्या श्रोत्याशी पडताळणी केली तो नोंदवा।

तपासणी यादी तेव्हा संपते जेव्हा नाव अस्तित्वात असेल किंवा जाणीवपूर्वक बदलले असेल, व्याख्या खऱ्या श्रोत्याशी जुळत असेल, सेवा स्वतंत्रपणे व्यवस्थापित होत असेल, आणि तुम्ही हातात पुनर्प्राप्ती मार्ग घेऊन परवानगी दिलेला व नाकारलेला दोन्ही मार्ग तपासला असेल। यादीत नाव असणे यापैकी काहीही नाही।