UFW-appprofil manglar? Han skildrar portar, ikkje tenester

UFW seier at det ikkje finn ein profil som svarar til OpenSSH, og jakta på ein årsak går rett til SSH-tenaren. Det er feil retning: meldinga handlar om ein namngjeven brannmurdefinisjon og seier ingenting om sshd er installert, køyrer eller lyttar. Ein UFW-appprofil er ei liste over portar og protokollar med ei etikett på. Å lese definisjonen tek éin kommando og avsluttar vanlegvis granskinga.

Steg 1: list opp namna UFW faktisk kjenner

Spør brannmuren kva namn han har før du ber han tillate eitt. Lista kjem frå profilane som er installerte på denne maskinen, så eit manglande namn er eit faktum om dette systemet og ikkje om programvara du prøvde å verne. Viss namnet finst, kom feilen frå ein skrivefeil eller eit utdatert alias i skalhistoria di.

ufw app list
ufw app info OpenSSH

Lista er kort ved ei standardinstallasjon, og namna er ikkje pakkenamn. Ein profil kalla OpenSSH kan mangla medan pakken openssh-server er installert, og det motsette er også mogleg. Bruk det nøyaktige namnet lista skriv ut; eit VPN-profilnamn eller ein skrivebordsstartar med liknande stavemåte er ikkje ein UFW-appprofil. Viss namnet du vil ha manglar, er det funnet, og neste steg er å sjå på kva som burde levere det.

Steg 2: les definisjonen, ikkje etiketten

Ein profil er ei fil i INI-stil under /etc/ufw/applications.d, med eit namn, ein tittel, ei skildring og eit portfelt. Portfeltet kan liste fleire portar og transporter, så etiketten fortel mindre enn definisjonen. UFW-handboka dokumenterer desse felta og handlinga for å oppdatere applikasjonar. Les fila i staden for å anta at namnet tyder éin kjend port.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Ein definisjon som inneheld 22/tcp skildrar TCP-port 22 og ingenting anna. Han beviser ikkje at tenesta på denne maskinen lyttar der, og han dekkjer ikkje ein annan port du la til seinare. Viss tenesta køyrer ein annan stad, er profilen den gale løyva sjølv om namnet svarar til produktet. Samanlikn lyttaren med definisjonen før du tillèt nokon av dei.

ss -ltnp 'sport = :22'

Stopp viss definisjonen og lyttaren ikkje stemmer. Å tillate ein profil som nemner ein port ingen lyttar på, lagar ei regel som ser ut som framgang og vernar ingenting.

Steg 3: skil profilen frå tenesta som køyrer

Å tillate ein namngjeven profil installerer, startar eller konfigurerer ikkje tenesta, og ei teneste som køyrer treng ikkje ein pakka profil for å vere tilgjengeleg. Det er separate avgjerder som ulike verktøy eig: pakkehandsamaren, tenestehandsamaren og brannmuren. Å handsame dei som éin er korleis folk installerar ein uønskt tenar for å få eit symbolsk namn til å dukke opp.

For ein VPN-tenar held skiljet fram etter at den ytre lyttaren er tillaten. Løyvet for porten til den krypterte transporten slår ikkje på vidaresending i kjernen, legg ikkje til ei NAT-regel og gir ikkje tunnelbrukarar tilgang til eit LAN. Kvar av desse er ein eigen politikk med si eiga gjennomgang. Ein profil kalla opp etter VPN-produktet skildrar berre portane han listar, og resten av tenarkonfigurasjonen er framleis din å skrive.

Viss profilen manglar og du treng ein, er ei gjennomgått eksplisitt portregel eller ein lokal profil under applications.d båe legitime. Å installere ein pakke du ikkje ville ha, er det ikkje.

Steg 4: hald ein veg tilbake før du lastar brannmuren på nytt

Før kvar regelendring, stadfest at du har ein annan veg inn i maskinen: ein konsoll, ei adresse utanfor bandet eller ei planlagd tilbakerulling. Les deretter regelsettet og standardpolitikken, fordi ei standardavvising utan SSH-regel er den klassiske måten å låse seg ute på under testing. Endre éi regel om gongen og les stadfestinga UFW skriv ut. Ei lagra regel, ei aktiv regel og ei tilgjengeleg teneste er tre ulike observasjonar.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Etter endringa, test den tillatne sambindinga og ein veg som framleis skal avvisast. Avvisingstesten tyder like mykje som tillatingstesten, fordi ei regel som er breiare enn tenkt består den første testen og feilar på den andre. Noter profilnamnet, portane han inneheldt og lyttaren du stadfesta mot.

Sjekklista sluttar når namnet finst eller er medvite erstatta, definisjonen svarar til den faktiske lyttaren, tenesta vert styrt separat, og du har testa både ein tillaten og ein avvist veg med ein attopprettingsrute i handa. Eit namn på lista er ingen av desse tinga.