Chýba profil aplikácie UFW? Opisuje porty, nie služby

UFW hlási, že nemôže nájsť profil zodpovedajúci OpenSSH, a hľadanie príčiny vedie priamo k serveru SSH. To je nesprávny smer: správa sa týka pomenovanej definície firewallu a nehovorí nič o tom, či je sshd nainštalovaný, spustený alebo počúva. Profil aplikácie UFW je zoznam portov a protokolov s označením. Prečítanie definície zaberie jeden príkaz a zvyčajne vyšetrovanie ukončí.

Krok 1: vypíšte názvy, ktoré UFW skutočne pozná

Predtým, než požiadate o povolenie jedného, opýtajte sa firewallu, aké názvy má. Zoznam pochádza z profilov nainštalovaných na tomto počítači, takže chýbajúci názov je fakt o tomto systéme, nie o softvéri, ktorý ste sa snažili chrániť. Ak názov existuje, chyba prišla z preklepu alebo zastaraného aliasu v histórii vášho shellu.

ufw app list
ufw app info OpenSSH

Zoznam je pri predvolenej inštalácii krátky a názvy nie sú názvy balíkov. Profil s názvom OpenSSH môže chýbať, aj keď je balík openssh-server nainštalovaný, a opak je tiež možný. Použite presný názov, ktorý zoznam vypisuje; názov profilu VPN alebo spúšťač na ploche s podobným pravopisom nie je profil aplikácie UFW. Ak požadovaný názov chýba, to je zistenie a ďalším krokom je pozrieť sa, čo by ho malo dodať.

Krok 2: čítajte definíciu, nie označenie

Profil je súbor v štýle INI v /etc/ufw/applications.d s názvom, titulkom, popisom a poľom portov. Pole portov môže vymenovať niekoľko portov a transportov, takže označenie vám povie menej než definícia. Príručka UFW dokumentuje tieto polia a operáciu aktualizácie aplikácií. Čítajte súbor namiesto predpokladu, že názov znamená jeden známy port.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Definícia obsahujúca 22/tcp opisuje TCP port 22 a nič iné. Nedokazuje, že tam proces na tomto počítači počúva, a nepokrýva druhý port, ktorý ste pridali neskôr. Ak proces beží inde, profil je nesprávne povolenie, aj keď jeho názov zodpovedá produktu. Porovnajte poslucháča s definíciou, kým povolíte ktorýkoľvek z nich.

ss -ltnp 'sport = :22'

Zastavte sa, ak si definícia a poslucháč nezodpovedajú. Povolenie profilu, ktorý pomenúva port, na ktorom nikto nepočúva, vytvára pravidlo, ktoré vyzerá ako pokrok a nič nechráni.

Krok 3: oddeľte profil od bežiacej služby

Povolenie pomenovaného profilu službu nenainštaluje, nespustí ani nenakonfiguruje a bežiaca služba nepotrebuje zabalený profil, aby bola dostupná. To sú oddelené rozhodnutia, ktoré vlastnia rôzne nástroje: správca balíkov, správca služieb a firewall. Zaobchádzať s nimi ako s jedným je spôsob, akým ľudia inštalujú nechcený server, aby sa objavil symbolický názov.

Pri serveri VPN oddelenie pokračuje po povolení vonkajšieho poslucháča. Povolenie portu šifrovaného transportu nezapína presmerovanie v jadre, nepridáva pravidlo NAT a nedáva používateľom tunela prístup do LAN. Každé z toho je samostatná politika s vlastnou kontrolou. Profil pomenovaný podľa produktu VPN opisuje len porty, ktoré uvádza, a zvyšok konfigurácie servera stále píšete vy.

Ak profil chýba a potrebujete ho, skontrolované explicitné pravidlo portu alebo lokálny profil v applications.d sú oba legitímne. Inštalácia balíka, ktorý ste nechceli, nie je.

Krok 4: pred opätovným načítaním firewallu si nechajte cestu späť

Pred akoukoľvek zmenou pravidla si potvrďte, že máte druhú cestu do počítača: konzolu, mimopásmovú adresu alebo naplánovaný návrat. Potom si prečítajte sadu pravidiel a predvolenú politiku, pretože predvolené odmietnutie bez pravidla SSH je klasický spôsob, ako sa pri testovaní zamknúť von. Meňte jedno pravidlo po druhom a čítajte potvrdenie, ktoré UFW vypisuje. Uložené pravidlo, aktívne pravidlo a dostupná služba sú tri rôzne pozorovania.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Po zmene otestujte povolené pripojenie a jednu cestu, ktorá má zostať odmietnutá. Test odmietnutia je rovnako dôležitý ako test povolenia, pretože pravidlo širšie, než bolo zamýšľané, prejde prvým testom a zlyhá v druhom. Zapíšte názov profilu, porty, ktoré obsahoval, a poslucháča, proti ktorému ste overovali.

Kontrolný zoznam končí, keď názov existuje alebo je zámerne nahradený, definícia zodpovedá skutočnému poslucháčovi, služba je spravovaná oddelene a otestovali ste povolenú aj odmietnutú cestu s cestou obnovy po ruke. Názov v zozname nie je nič z toho.