Nedostaje UFW profil aplikacije? On opisuje portove, a ne usluge

UFW kaže da ne može pronaći profil koji odgovara OpenSSH-u, a potraga za uzrokom vodi pravo do SSH servera. To je pogrešan smjer: poruka se odnosi na imenovanu definiciju firewall-a i ne govori ništa o tome je li sshd instaliran, pokrenut ili sluša. UFW profil aplikacije je lista portova i protokola s oznakom. Čitanje definicije traje jednu komandu i obično završava istragu.

Korak 1: popišite imena koja UFW zaista poznaje

Pitajte firewall koja imena ima prije nego što zatražite da dozvoli jedno. Lista potiče iz profila instaliranih na ovom računaru, pa je ime koje nedostaje činjenica o ovom sistemu, a ne o softveru koji ste pokušavali zaštititi. Ako je ime prisutno, greška je došla od tipfelera ili zastarjelog aliasa u historiji vaše ljuske.

ufw app list
ufw app info OpenSSH

Lista je kratka pri standardnoj instalaciji, a imena nisu imena paketa. Profil po imenu OpenSSH može nedostajati dok je paket openssh-server instaliran, a moguće je i obrnuto. Koristite tačno ime koje lista ispisuje; naziv VPN profila ili desktop pokretač sa sličnim pravopisom nije UFW profil aplikacije. Ako ime koje želite nedostaje, to je nalaz, a sljedeći korak je pogledati šta bi ga trebalo osigurati.

Korak 2: čitajte definiciju, a ne oznaku

Profil je datoteka u INI stilu pod /etc/ufw/applications.d, s imenom, naslovom, opisom i poljem portova. Polje portova može navesti nekoliko portova i transporta, pa vam oznaka govori manje od definicije. UFW priručnik dokumentuje ta polja i operaciju ažuriranja aplikacija. Čitajte datoteku umjesto da pretpostavljate da ime znači jedan poznati port.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Definicija koja sadrži 22/tcp opisuje TCP port 22 i ništa drugo. Ona ne dokazuje da demon na ovom računaru tamo sluša i ne pokriva drugi port koji ste kasnije dodali. Ako demon radi negdje drugdje, profil je pogrešna dozvola iako se njegovo ime poklapa s proizvodom. Uporedite slušaoca s definicijom prije nego što dozvolite bilo koje od njih.

ss -ltnp 'sport = :22'

Zaustavite se ako se definicija i slušalac ne slažu. Dozvola profila koji imenuje port na kojem niko ne sluša stvara pravilo koje izgleda kao napredak i ne štiti ništa.

Korak 3: odvojite profil od usluge koja radi

Dozvola imenovanog profila ne instalira, ne pokreće i ne konfiguriše uslugu, a usluga koja radi ne treba pakovan profil da bi bila dostupna. To su odvojene odluke koje posjeduju različiti alati: upravitelj paketa, upravitelj usluga i firewall. Tretiranje toga kao jednoga je način na koji ljudi instaliraju neželjeni server da bi se pojavilo simbolično ime.

Za VPN server razdvajanje se nastavlja nakon što je vanjski slušalac dozvoljen. Dozvola za port šifrovanog transporta ne uključuje prosljeđivanje u kernelu, ne dodaje NAT pravilo i ne daje korisnicima tunela pristup LAN-u. Svako od toga je odvojena politika sa svojim pregledom. Profil nazvan po VPN proizvodu opisuje samo portove koje navodi, a ostatak konfiguracije servera i dalje je vaš za pisanje.

Ako profil nedostaje i potreban vam je, pregledano eksplicitno pravilo porta ili lokalni profil pod applications.d oboje su legitimni. Instaliranje paketa koji niste željeli nije.

Korak 4: zadržite put nazad prije nego što ponovo učitate firewall

Prije bilo kakve promjene pravila potvrdite da imate drugi put u računar: konzolu, vanpojasnu adresu ili zakazano vraćanje. Zatim pročitajte skup pravila i zadanu politiku, jer zadano odbijanje bez SSH pravila klasičan je način da se zaključate tokom testiranja. Mijenjajte jedno pravilo odjednom i čitajte potvrdu koju UFW ispisuje. Sačuvano pravilo, aktivno pravilo i dostupna usluga tri su različita zapažanja.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Nakon promjene testirajte dozvoljenu vezu i jedan put koji i dalje treba biti odbijen. Test odbijanja važan je kao i test dozvole, jer pravilo šire od predviđenog prolazi prvi test i pada drugi. Zapišite ime profila, portove koje je sadržavao i slušaoca prema kojem ste provjerili.

Kontrolna lista završava kada ime postoji ili je namjerno zamijenjeno, definicija odgovara stvarnom slušaocu, uslugom se upravlja odvojeno i testirali ste i dozvoljeni i odbijeni put s putem oporavka pri ruci. Ime na listi nije nijedno od toga.