Τείχος προστασίας UFW

Ένα web interface UFW για την επισκόπηση των κανόνων

Το UFW υπάρχει επειδή η γυμνή σύνταξη του iptables δεν συγχωρεί τίποτα, και σε αυτό τα καταφέρνει. Αυτό που δεν κάνει είναι να καθιστά ένα σύνολο κανόνων εύκολο να ελεγχθεί μήνες αργότερα, όταν το ufw status numbered επιστρέφει τριάντα γραμμές και προσπαθείτε να βρείτε ποιες από αυτές χρειάζονται ακόμη.

Η σελίδα δείχνει τους ίδιους κανόνες, αλλά βάζει μπροστά τις προεπιλεγμένες πολιτικές για την εισερχόμενη και την εξερχόμενη κίνηση, γιατί ακριβώς αυτές ξεχνιούνται. Ένα σύνολο κανόνων που δείχνει αυστηρό δεν σημαίνει τίποτα αν η προεπιλεγμένη πολιτική για την εισερχόμενη κίνηση έμεινε στο allow. Οι κανόνες εμφανίζονται με ενέργεια, θύρα, πρωτόκολλο και προέλευση, ενώ οι εγγραφές IPv6 στέκονται δίπλα στα αντίστοιχα IPv4 αντί να διπλασιάζουν τη λίστα.

Τα λάθη που αξίζει να αναζητήσετε: μια θύρα που άνοιξε για μία δοκιμή και δεν έκλεισε ποτέ, μια υπηρεσία που ακούει σε όλες τις διεπαφές ενώ αρκούσε το localhost, και ένας κανόνας που δέχεται ολόκληρο υποδίκτυο εκεί όπου θα έφτανε μία διεύθυνση. Η σελίδα των ανοιχτών θυρών δείχνει το άλλο μισό της εικόνας: τι ακούει στην πραγματικότητα πίσω από αυτούς τους κανόνες.

Αυτές τις δύο εικόνες αξίζει να τις αντιπαραβάλλετε τακτικά, γιατί αποκλίνουν σιωπηλά. Ένας κανόνας μπορεί να κλείνει μια θύρα που κανείς δεν ακούει — τότε είναι απλώς έρμα μέσα στο σύνολο. Συμβαίνει και το αντίστροφο: μια υπηρεσία ακούει σε όλες τις διεπαφές πίσω από έναν κανόνα που θεωρούσατε κλειστό. Η παλιά απάντηση σε αυτό το ερώτημα είναι το netstat, και παραμένει σωστή· απλώς η έξοδός του πρέπει να ξαναδιαβάζεται με το μάτι κάθε φορά.