Profili i aplikacionit UFW mungon? Ai përshkruan porta, jo shërbime

UFW thotë se nuk gjen një profil që përputhet me OpenSSH, dhe kërkimi i shkakut shkon drejt e te serveri SSH. Ky është drejtimi i gabuar: mesazhi ka të bëjë me një përkufizim të emërtuar të murit të zjarrit dhe nuk thotë asgjë nëse sshd është i instaluar, në punë apo duke dëgjuar. Një profil aplikacioni UFW është një listë portash dhe protokollesh me një etiketë. Leximi i përkufizimit kërkon një komandë dhe zakonisht e përfundon hetimin.

Hapi 1: rendit emrat që UFW njeh vërtet

Pyet murin e zjarrit çfarë emrash ka përpara se t'i kërkosh të lejojë një. Lista vjen nga profilet e instaluara në këtë makinë, kështu që një emër që mungon është fakt për këtë sistem, jo për softuerin që po përpiqeshe të mbronje. Nëse emri është aty, gabimi erdhi nga një gabim shtypi ose nga një pseudonim i vjetër në historikun e shell-it tënd.

ufw app list
ufw app info OpenSSH

Lista është e shkurtër në një instalim standard, dhe emrat nuk janë emra paketash. Një profil i quajtur OpenSSH mund të mungojë ndërkohë që paketa openssh-server është e instaluar, dhe e kundërta është gjithashtu e mundur. Përdor emrin e saktë që shtyp lista; një emër profili VPN ose një lëshues desktopi me drejtshkrim të ngjashëm nuk është profil aplikacioni UFW. Nëse emri që dëshiron mungon, ky është gjetja, dhe hapi tjetër është të shohësh çfarë duhet ta ofrojë.

Hapi 2: lexo përkufizimin, jo etiketën

Një profil është një skedar në stilin INI nën /etc/ufw/applications.d, me një emër, një titull, një përshkrim dhe një fushë portash. Fusha e portave mund të rendisë disa porta dhe transport, kështu që etiketa të tregon më pak se përkufizimi. Manuali i UFW dokumenton këto fusha dhe veprimin e përditësimit të aplikacioneve. Lexo skedarin në vend që të supozosh se emri nënkupton një portë të njohur.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Një përkufizim që përmban 22/tcp përshkruan portën TCP 22 dhe asgjë tjetër. Nuk vërteton se demoni në këtë makinë dëgjon atje, dhe nuk mbulon një portë të dytë që e shtove më vonë. Nëse demoni punon diku tjetër, profili është leja e gabuar edhe pse emri i tij përputhet me produktin. Krahaso dëgjuesin me përkufizimin përpara se të lejosh ndonjë nga të dyja.

ss -ltnp 'sport = :22'

Ndalo nëse përkufizimi dhe dëgjuesi nuk përputhen. Lejimi i një profili që emërton një portë ku askush nuk dëgjon krijon një rregull që duket si përparim dhe nuk mbron asgjë.

Hapi 3: ndaj profilin nga shërbimi që punon

Lejimi i një profili të emërtuar nuk e instalon, nuk e nis dhe nuk e konfiguron shërbimin, dhe një shërbim që punon nuk ka nevojë për një profil të paketuar për të qenë i arritshëm. Këto janë vendime të veçanta të mjeteve të ndryshme: menaxheri i paketave, menaxheri i shërbimeve dhe muri i zjarrit. Trajtimi i tyre si një është mënyra se si njerëzit instalojnë një server të padëshiruar që të shfaqet një emër simbolik.

Për një server VPN ndarja vazhdon pasi dëgjuesi i jashtëm lejohet. Leja për portën e transportit të kriptuar nuk aktivizon përcjelljen në kernel, nuk shton një rregull NAT dhe nuk u jep përdoruesve të tunelit akses në një LAN. Secila prej tyre është politikë e veçantë me rishikimin e vet. Një profil i emërtuar sipas produktit VPN përshkruan vetëm portat që rendit, dhe pjesa tjetër e konfigurimit të serverit mbetet për t'u shkruar nga ti.

Nëse profili mungon dhe të duhet një, një rregull i qartë porte i rishikuar ose një profil lokal nën applications.d janë të dyja legitime. Instalimi i një pakete që nuk e doje nuk është.

Hapi 4: mbaj një rrugë kthimi përpara se të rishkarkosh murin e zjarrit

Përpara çdo ndryshimi rregulli, konfirmo se ke një rrugë të dytë në makinë: një konsolë, një adresë jashtë brezit ose një kthim të planifikuar. Më pas lexo grupin e rregullave dhe politikën e parazgjedhur, sepse refuzimi i parazgjedhur pa rregull SSH është mënyra klasike për t'u mbyllur jashtë gjatë testimit. Ndrysho një rregull në një herë dhe lexo konfirmimin që shtyp UFW. Një rregull i ruajtur, një rregull aktiv dhe një shërbim i arritshëm janë tre vëzhgime të ndryshme.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Pas ndryshimit, testo lidhjen e lejuar dhe një rrugë që duhet të mbetet e refuzuar. Testi i refuzimit vlen sa ai i lejimit, sepse një rregull më i gjerë se sa synohej kalon testin e parë dhe dështon në të dytin. Shkruaj emrin e profilit, portat që përmbante dhe dëgjuesin kundrejt të cilit verifikove.

Lista e kontrollit mbaron kur emri ekziston ose është zëvendësuar qëllimisht, përkufizimi përputhet me dëgjuesin real, shërbimi menaxhohet veçmas, dhe ke testuar si rrugën e lejuar ashtu edhe atë të refuzuar me një rrugë rikuperimi në dorë. Një emër në listë nuk është asnjë prej këtyre.