Недостаје профил апликације у UFW? Он описује портове, а не услуге

UFW наводи да не може да пронађе профил који одговара OpenSSH, а потрага за узроком води право до SSH сервера. То је погрешан смер: порука се односи на именовану дефиницију заштитног зида и не говори ништа о томе да ли је sshd инсталиран, покренут или слуша. Профил апликације у UFW је листа портова и протокола са ознаком. Читање дефиниције траје једну команду и обично завршава истрагу.

Корак 1: наведите имена која UFW заиста познаје

Питајте заштитни зид која имена има пре него што затражите да дозволи једно. Листа потиче из профила инсталираних на овом рачунару, па је име које недостаје чињеница о овом систему, а не о софтверу који сте покушавали да заштитите. Ако је име присутно, грешка је дошла од штампарске грешке или застарелог алијаса у историји ваше љуске.

ufw app list
ufw app info OpenSSH

Листа је кратка при подразумеваној инсталацији, а имена нису имена пакета. Профил по имену OpenSSH може да недостаје док је пакет openssh-server инсталиран, а могуће је и обрнуто. Користите тачно име које листа исписује; назив VPN профила или покретач радне површине са сличним правописом није профил апликације у UFW. Ако име које желите недостаје, то је налаз, а следећи корак је да погледате шта би требало да га обезбеди.

Корак 2: читајте дефиницију, а не ознаку

Профил је датотека у INI стилу под /etc/ufw/applications.d, са именом, насловом, описом и пољем портова. Поље портова може да наведе неколико портова и транспорта, па вам ознака каже мање од дефиниције. Приручник UFW документује та поља и операцију ажурирања апликација. Читајте датотеку уместо да претпостављате да име значи један познати порт.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Дефиниција која садржи 22/tcp описује TCP порт 22 и ништа друго. Она не доказује да демон на овом рачунару слуша тамо и не покрива други порт који сте касније додали. Ако демон ради негде другде, профил је погрешна дозвола иако се његово име поклапа са производом. Упоредите слушаоца са дефиницијом пре него што дозволите било који од њих.

ss -ltnp 'sport = :22'

Зауставите се ако се дефиниција и слушалац не слажу. Дозвољавање профила који именује порт на ком нико не слуша ствара правило које изгледа као напредак и не штити ништа.

Корак 3: одвојте профил од услуге која ради

Дозвољавање именованог профила не инсталира, не покреће и не конфигурише услугу, а услуга која ради не захтева упакован профил да би била доступна. То су одвојене одлуке које поседују различити алати: менаџер пакета, менаџер услуга и заштитни зид. Третирање тога као једног је начин на који људи инсталирају нежељени сервер да би се појавило симболично име.

За VPN сервер раздвајање се наставља након што је спољни слушалац дозвољен. Дозвола за порт шифрованог транспорта не укључује прослеђивање у кернелу, не додаје NAT правило и не даје корисницима тунела приступ LAN-у. Свако од тога је одвојена политика са сопственим прегледом. Профил назван по VPN производу описује само портове које наводи, а остатак конфигурације сервера и даље је ваш да напишете.

Ако профил недостаје и потребан вам је, прегледано јасно правило порта или локални профил под applications.d су обоје легитимни. Инсталирање пакета који нисте желели није.

Корак 4: сачувајте пут назад пре него што поново учитате заштитни зид

Пре било какве промене правила потврдите да имате други пут у рачунар: конзолу, адресу ван опсега или заказано враћање. Затим прочитајте скуп правила и подразумевану политику, јер подразумевано одбијање без SSH правила је класичан начин да се закључате напоље током тестирања. Мењајте једно правило одједном и читајте потврду коју UFW исписује. Сачувано правило, активно правило и доступна услуга су три различита запажања.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Након промене тестирајте дозвољену везу и један пут који и даље треба да буде одбијен. Тест одбијања је важан колико и тест дозволе, јер правило шире од предвиђеног пролази први тест и пада на другом. Запишите име профила, портове које је садржао и слушаоца према коме сте проверили.

Контролна листа се завршава када име постоји или је намерно замењено, дефиниција одговара стварном слушаоцу, услугом се управља одвојено и тестирали сте и дозвољени и одбијени пут са путем опоравка при руци. Име на листи није ниједно од тога.