UFW-firewall

En UFW-webgrænseflade til at gennemgå firewallreglerne

UFW findes, fordi den rå iptables-syntaks intet tilgiver, og der lykkes det. Hvad det ikke gør, er at gøre et regelsæt let at gennemgå måneder senere, når ufw status numbered giver tredive linjer, og du forsøger at finde ud af, hvilke der stadig er nødvendige.

Denne side viser de samme regler, men sætter standardpolitikkerne for indgående og udgående trafik øverst, for det er netop dem, man glemmer. Et regelsæt, der ser stramt ud, betyder intet, hvis standardpolitikken for indgående trafik stadig står på allow. Reglerne vises med handling, port, protokol og kilde, og IPv6-posterne står ved siden af deres IPv4-modstykker i stedet for at fordoble listen.

De fejl, det betaler sig at lede efter: en port der blev åbnet til en test og aldrig lukket, en tjeneste der lytter på alle grænseflader, hvor localhost havde været nok, og en regel der lukker et helt subnet ind, hvor én adresse ville række. Siden med åbne porte viser den anden halvdel af billedet: hvad der rent faktisk lytter bag reglerne.

Disse to billeder er værd at sammenholde jævnligt, for de glider fra hinanden i stilhed. En regel kan lukke en port, ingen lytter på — så er den blot ballast i regelsættet. Det kan også gå den anden vej: en tjeneste, der lytter på alle grænseflader bag en regel, du troede var lukket. Det gamle svar på det spørgsmål er netstat, og det holder stadig; uddata skal bare læses igennem med øjnene hver gang.