Wala ang app profile ng UFW? Naglalarawan ito ng port, hindi serbisyo

Sinasabi ng UFW na hindi ito makahanap ng profile na tumutugma sa OpenSSH, at ang paghahanap ng dahilan ay dumiretso sa SSH server. Mali ang direksyong iyon: ang mensahe ay tungkol sa pinangalanang depinisyon ng firewall at wala itong sinasabi kung naka-install, tumatakbo o nakikinig ang sshd. Ang app profile ng UFW ay listahan ng mga port at protocol na may label. Ang pagbasa ng depinisyon ay isang utos lang at karaniwang tinatapos ang imbestigasyon.

Hakbang 1: ilista ang mga pangalang talagang kilala ng UFW

Tanungin ang firewall kung anong mga pangalan ang mayroon ito bago hilingin na payagan ang isa. Ang listahan ay nagmumula sa mga profile na naka-install sa makinang ito, kaya ang kulang na pangalan ay katotohanan tungkol sa sistemang ito, hindi tungkol sa software na pinipilit mong protektahan. Kung naroon ang pangalan, ang error ay nagmula sa maling pag-type o lumang alias sa kasaysayan ng iyong shell.

ufw app list
ufw app info OpenSSH

Maikli ang listahan sa default na pag-install, at ang mga pangalan ay hindi pangalan ng pakete. Maaaring wala ang profile na tinatawag na OpenSSH habang naka-install ang paketeng openssh-server, at posible rin ang kabaligtaran. Gamitin ang eksaktong pangalan na inilalabas ng listahan; ang pangalan ng VPN profile o desktop launcher na may katulad na baybay ay hindi app profile ng UFW. Kung wala ang pangalang gusto mo, iyon ang natuklasan, at ang susunod na hakbang ay tingnan kung ano ang dapat magbigay nito.

Hakbang 2: basahin ang depinisyon, hindi ang label

Ang profile ay file sa istilong INI sa ilalim ng /etc/ufw/applications.d, may pangalan, pamagat, paglalarawan at field ng port. Maaaring maglista ang field ng port ng ilang port at transport, kaya mas kaunti ang sinasabi ng label kaysa sa depinisyon. Dinodokumento ng manwal ng UFW ang mga field na ito at ang operasyon ng pag-update ng aplikasyon. Basahin ang file sa halip na ipagpalagay na ang pangalan ay nangangahulugan ng isang pamilyar na port.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Ang depinisyon na naglalaman ng 22/tcp ay naglalarawan ng TCP port 22 at wala nang iba. Hindi nito pinatutunayan na nakikinig doon ang daemon sa makinang ito, at hindi nito saklaw ang pangalawang port na idinagdag mo mamaya. Kung tumatakbo ang daemon sa ibang lugar, mali ang permiso ng profile kahit tumutugma ang pangalan nito sa produkto. Ihambing ang nakikinig sa depinisyon bago payagan ang alinman sa kanila.

ss -ltnp 'sport = :22'

Huminto kung hindi tugma ang depinisyon at ang nakikinig. Ang pagpayag sa profile na nagngangalan ng port na walang nakikinig ay lumilikha ng tuntuning mukhang progreso at walang pinoprotektahan.

Hakbang 3: ihiwalay ang profile sa serbisyong tumatakbo

Ang pagpayag sa pinangalanang profile ay hindi nag-i-install, nag-uumpisa o nag-configure ng serbisyo, at ang serbisyong tumatakbo ay hindi kailangan ng nakabalot na profile upang maabot. Ito ay magkahiwalay na desisyon na pag-aari ng iba't ibang kasangkapan: ang tagapamahala ng pakete, ang tagapamahala ng serbisyo at ang firewall. Ang pagtrato sa kanila bilang isa ay ang paraan ng mga tao na mag-install ng hindi gustong server upang lumitaw ang simbolikong pangalan.

Para sa VPN server, nagpapatuloy ang paghihiwalay pagkatapos payagan ang panlabas na nakikinig. Ang permiso para sa port ng naka-encrypt na transport ay hindi nagpapagana ng pagpapasa sa kernel, hindi nagdaragdag ng tuntunin ng NAT at hindi nagbibigay sa mga gumagamit ng tunnel ng access sa LAN. Ang bawat isa sa mga ito ay hiwalay na patakaran na may sariling pagsusuri. Ang profile na pinangalanan sa produkto ng VPN ay naglalarawan lamang ng mga port na inililista nito, at ang natitirang configuration ng server ay sa iyo pa ring isulat.

Kung wala ang profile at kailangan mo ng isa, ang sinuring malinaw na tuntunin ng port o lokal na profile sa ilalim ng applications.d ay parehong lehitimo. Ang pag-install ng paketeng ayaw mo ay hindi.

Hakbang 4: panatilihin ang daan pabalik bago i-reload ang firewall

Bago ang anumang pagbabago ng tuntunin, tiyakin na mayroon kang pangalawang daan papasok sa makina: isang console, address na wala sa banda o naka-iskedyul na rollback. Pagkatapos basahin ang hanay ng tuntunin at ang default na patakaran, dahil ang default na pagtanggi na walang tuntunin ng SSH ay ang klasikong paraan upang ikandado ang sarili sa labas habang nagsubok. Baguhin ang isang tuntunin sa isang pagkakataon at basahin ang kumpirmasyong inilalabas ng UFW. Ang naka-save na tuntunin, aktibong tuntunin at maabot na serbisyo ay tatlong magkakaibang obserbasyon.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

Pagkatapos ng pagbabago, subukan ang pinayagang koneksyon at isang daan na dapat pa ring tanggihan. Ang pagsubok ng pagtanggi ay kasinghalaga ng pagsubok ng pagpayag, dahil ang tuntuning mas malawak kaysa sa nilayon ay pumapasa sa unang pagsubok at bumagsak sa pangalawa. Itala ang pangalan ng profile, ang mga port na nilalaman nito at ang nakikinig na na-verify mo.

Nagtatapos ang checklist kapag umiiral ang pangalan o sadyang pinalitan, tumutugma ang depinisyon sa tunay na nakikinig, hiwalay na pinamamahalaan ang serbisyo, at nasubukan mo ang parehong pinayagan at tinanggihang daan na may daan ng pagbawi sa kamay. Ang pangalan sa listahan ay wala sa mga iyon.