Manjka profil aplikacije UFW? Opisuje vrata, ne storitve

UFW sporoča, da ne najde profila, ki bi ustrezal OpenSSH, in iskanje vzroka vodi naravnost k strežniku SSH. To je napačna smer: sporočilo se nanaša na poimenovano definicijo požarnega zidu in ne pove nič o tem, ali je sshd nameščen, teče ali posluša. Profil aplikacije UFW je seznam vrat in protokolov z oznako. Branje definicije vzame en ukaz in običajno konča preiskavo.

Korak 1: naštejte imena, ki jih UFW resnično pozna

Preden zahtevate dovoljenje za eno, vprašajte požarni zid, katera imena ima. Seznam izhaja iz profilov, nameščenih na tem računalniku, zato je manjkajoče ime dejstvo o tem sistemu, ne o programski opremi, ki ste jo poskušali zaščititi. Če ime obstaja, je napaka prišla zaradi tipkarske napake ali zastarelega vzdevka v zgodovini vaše lupine.

ufw app list
ufw app info OpenSSH

Seznam je pri privzeti namestitvi kratek in imena niso imena paketov. Profil z imenom OpenSSH lahko manjka, medtem ko je paket openssh-server nameščen, in tudi obratno je mogoče. Uporabite natančno ime, ki ga seznam izpiše; ime profila VPN ali zaganjalnik na namizju s podobnim črkovanjem ni profil aplikacije UFW. Če želenega imena ni, je to ugotovitev, naslednji korak pa je pogledati, kaj naj bi ga zagotovilo.

Korak 2: berite definicijo, ne oznake

Profil je datoteka v slogu INI v /etc/ufw/applications.d, z imenom, naslovom, opisom in poljem vrat. Polje vrat lahko našteje več vrat in prenosov, zato vam oznaka pove manj kot definicija. Priročnik UFW dokumentira ta polja in postopek posodabljanja aplikacij. Berite datoteko, namesto da predpostavljate, da ime pomeni eno znano vrata.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Definicija, ki vsebuje 22/tcp, opisuje vrata TCP 22 in nič drugega. Ne dokazuje, da tam proces na tem računalniku posluša, in ne pokriva drugih vrat, ki ste jih dodali pozneje. Če proces teče drugje, je profil napačno dovoljenje, tudi če se njegovo ime ujema z izdelkom. Primerjajte poslušalca z definicijo, preden dovolite katero od njiju.

ss -ltnp 'sport = :22'

Ustavite se, če se definicija in poslušalec ne ujemata. Dovoljenje profila, ki imenuje vrata, na katerih nihče ne posluša, ustvari pravilo, ki je videti kot napredek in ne ščiti ničesar.

Korak 3: ločite profil od delujoče storitve

Dovoljenje poimenovanega profila ne namesti, ne zažene in ne konfigurira storitve, delujoča storitev pa ne potrebuje zapakiranega profila, da bi bila dosegljiva. To so ločene odločitve, ki jih imajo različna orodja: upravitelj paketov, upravitelj storitev in požarni zid. Obravnavanje teh kot eno je način, kako ljudje namestijo neželen strežnik, da se pojavi simbolično ime.

Pri strežniku VPN se ločevanje nadaljuje po tem, ko je zunanji poslušalec dovoljen. Dovoljenje za vrata šifriranega prenosa ne omogoči posredovanja v jedru, ne doda pravila NAT in uporabnikom tunela ne da dostopa do LAN. Vsako od tega je ločena politika z lastnim pregledom. Profil, poimenovan po izdelku VPN, opisuje le vrata, ki jih navaja, preostanek konfiguracije strežnika pa morate še vedno napisati sami.

Če profil manjka in ga potrebujete, sta pregledano izrecno pravilo vrat ali lokalni profil v applications.d oba legitimna. Namestitev paketa, ki ga niste želeli, ni.

Korak 4: pred ponovnim nalaganjem požarnega zidu ohranite pot nazaj

Pred vsako spremembo pravila potrdite, da imate drugo pot v računalnik: konzolo, zunajpasovni naslov ali načrtovano vrnitev. Nato preberite nabor pravil in privzeto politiko, ker je privzeta zavrnitev brez pravila SSH klasičen način, da se med testiranjem zaklenete ven. Spreminjajte eno pravilo naenkrat in berite potrditev, ki jo izpiše UFW. Shranjeno pravilo, aktivno pravilo in dosegljiva storitev so tri različna opažanja.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Po spremembi preizkusite dovoljeno povezavo in eno pot, ki bi morala ostati zavrnjena. Preizkus zavrnitve je enako pomemben kot preizkus dovoljenja, ker pravilo, širše od predvidenega, prestane prvi preizkus in pade na drugem. Zapišite ime profila, vrata, ki jih je vseboval, in poslušalca, glede na katerega ste preverjali.

Kontrolni seznam se konča, ko ime obstaja ali je namerno zamenjano, definicija ustreza resničnemu poslušalcu, storitev se upravlja ločeno in ste preizkusili tako dovoljeno kot zavrnjeno pot z potjo za obnovitev pri roki. Ime na seznamu ni nič od tega.