UFW ilova profili yo'qmi? U portlarni tasvirlaydi, xizmatlarni emas

UFW OpenSSH ga mos profil topa olmasligini aytadi va sabab qidiruvi to'g'ridan-to'g'ri SSH serveriga boradi. Bu noto'g'ri yo'nalish: xabar nomlangan firewall ta'rifi haqida va sshd o'rnatilganmi, ishlayaptimi yoki tinglayaptimi degan savolga hech narsa demaydi. UFW ilova profili yorliqli portlar va protokollar ro'yxatidir. Ta'rifni o'qish bitta buyruq oladi va odatda tekshiruvni tugatadi.

1-qadam: UFW haqiqatan biladigan nomlarni sanang

Bittasini ruxsat berishni so'rashdan oldin firewalldan qanday nomlari borligini so'rang. Ro'yxat shu mashinada o'rnatilgan profillardan keladi, shuning uchun yo'q nom bu tizim haqidagi fakt, siz himoya qilmoqchi bo'lgan dasturiy ta'minot haqida emas. Agar nom mavjud bo'lsa, xato yozuv xatosidan yoki shell tarixingizdagi eski taxallusdan kelgan.

ufw app list
ufw app info OpenSSH

Standart o'rnatishda ro'yxat qisqa va nomlar paket nomlari emas. openssh-server paketi o'rnatilgan bo'lsa ham OpenSSH nomli profil yo'q bo'lishi mumkin va aksincha ham mumkin. Ro'yxat chiqaradigan aniq nomdan foydalaning; o'xshash yozuvli VPN profil nomi yoki ish stoli ishga tushirgichi UFW ilova profili emas. Xohlagan nomingiz bo'lmasa, bu topilma, keyingi qadam esa uni nima ta'minlashi kerakligini ko'rish.

2-qadam: yorliqni emas, ta'rifni o'qing

Profil /etc/ufw/applications.d ostidagi INI uslubidagi fayl bo'lib, unda nom, sarlavha, tavsif va portlar maydoni bor. Portlar maydoni bir nechta port va transportni sanashi mumkin, shuning uchun yorliq ta'rifdan kamroq aytadi. UFW qo'llanmasi bu maydonlarni va ilovalarni yangilash amalini hujjatlashtiradi. Nom bitta tanish portni anglatadi deb o'ylash o'rniga faylni o'qing.

cat /etc/ufw/applications.d/openssh-server
ufw app info OpenSSH

Tarkibida 22/tcp bo'lgan ta'rif TCP 22 portini tasvirlaydi, boshqa hech narsani emas. Bu shu mashinadagi daemon u yerda tinglayotganini isbotlamaydi va keyinroq qo'shgan ikkinchi portni qamramaydi. Agar daemon boshqa joyda ishlasa, nomi mahsulotga mos kelsa ham profil noto'g'ri ruxsatdir. Ikkalasidan biriga ruxsat berishdan oldin tinglovchini ta'rif bilan solishtiring.

ss -ltnp 'sport = :22'

Ta'rif va tinglovchi mos kelmasa, to'xtang. Hech kim tinglamaydigan portni nomlaydigan profilga ruxsat berish taraqqiyotga o'xshab ko'rinadigan, lekin hech narsani himoya qilmaydigan qoida yaratadi.

3-qadam: profilni ishlab turgan xizmatdan ajrating

Nomlangan profilga ruxsat berish xizmatni o'rnatmaydi, ishga tushirmaydi va sozlamaydi, ishlab turgan xizmat esa yetib borish uchun qadoqlangan profilga muhtoj emas. Bular turli vositalarga tegishli alohida qarorlar: paket menejeri, xizmat menejeri va firewall. Ularni bitta deb qarash odamlarning ramziy nom paydo bo'lishi uchun keraksiz serverni o'rnatish usulidir.

VPN serveri uchun ajratish tashqi tinglovchiga ruxsat berilgandan keyin ham davom etadi. Shifrlangan transport portiga ruxsat yadroda yo'naltirishni yoqmaydi, NAT qoidasini qo'shmaydi va tunnel foydalanuvchilariga LAN ga kirish bermaydi. Ularning har biri o'z tekshiruviga ega alohida siyosat. VPN mahsuloti nomidagi profil faqat sanab o'tgan portlarni tasvirlaydi, server konfiguratsiyasining qolgan qismini esa hali o'zingiz yozishingiz kerak.

Profil yo'q bo'lsa va bittasi kerak bo'lsa, tekshirilgan aniq port qoidasi yoki applications.d ostidagi mahalliy profil ikkalasi ham qonuniy. Keraksiz paketni o'rnatish esa unday emas.

4-qadam: firewallni qayta yuklashdan oldin qaytish yo'lini saqlang

Har qanday qoida o'zgarishidan oldin mashinaga ikkinchi yo'lingiz borligini tasdiqlang: konsol, tarmoqdan tashqari manzil yoki rejalashtirilgan qaytarish. Keyin qoidalar to'plami va standart siyosatni o'qing, chunki SSH qoidasisiz standart rad etish sinov paytida o'zingizni tashqarida qulflashning klassik usulidir. Bir vaqtda bitta qoidani o'zgartiring va UFW chop etadigan tasdiqni o'qing. Saqlangan qoida, faol qoida va yetib boriladigan xizmat uch xil kuzatuvdir.

ufw status verbose
ufw allow 22/tcp
ufw app update OpenSSH

O'zgarishdan keyin ruxsat berilgan ulanishni va hali ham rad etilishi kerak bo'lgan bitta yo'lni sinab ko'ring. Rad etish sinovi ruxsat sinovi kabi muhim, chunki mo'ljallangandan kengroq qoida birinchi sinovdan o'tadi va ikkinchisida yiqiladi. Profil nomini, undagi portlarni va tekshirgan tinglovchingizni yozib qo'ying.

Tekshiruv ro'yxati nom mavjud bo'lganda yoki ataylab almashtirilganda, ta'rif haqiqiy tinglovchiga mos kelganda, xizmat alohida boshqarilganda va qo'lingizda tiklanish yo'li bilan ruxsat berilgan hamda rad etilgan yo'lni sinab ko'rganingizda tugaydi. Ro'yxatdagi nom bularning hech biri emas.