UFW tűzfal

UFW webes felület a tűzfalszabályok átnézéséhez

Az UFW azért létezik, mert a nyers iptables-szintaxis semmit sem bocsát meg, és ebben helytáll. Amit nem tesz meg: nem teszi könnyen átnézhetővé a szabálykészletet hónapokkal később, amikor az ufw status numbered harminc sort ad vissza, és próbálja kideríteni, melyikre van még szükség.

Ez az oldal ugyanazokat a szabályokat mutatja, de a bejövő és kimenő forgalom alapértelmezett házirendjét teszi előre, mert éppen ezekről feledkezünk meg. A szigorúnak látszó szabálykészlet semmit sem jelent, ha a bejövő forgalom alapértelmezett házirendje allow maradt. A szabályok művelettel, porttal, protokollal és forrással szerepelnek, az IPv6-bejegyzések pedig az IPv4-megfelelőik mellett állnak, ahelyett hogy megdupláznák a listát.

Érdemes ezeket a hibákat keresni: egy port, amelyet egyetlen tesztre nyitottak meg, és soha nem zártak be; egy szolgáltatás, amely minden interfészen figyel, pedig a localhost is elég lett volna; és egy szabály, amely egész alhálózatot enged be ott, ahol egyetlen cím is megtenné. A nyitott portok oldala a kép másik felét mutatja: mi figyel valójában e szabályok mögött.

Ezt a két képet érdemes rendszeresen összevetni, mert csendben szétcsúsznak. Egy szabály lezárhat olyan portot, amelyen senki sem figyel — akkor csak teher a szabálykészletben. Fordítva is előfordul: egy szolgáltatás minden csatolón figyel egy olyan szabály mögött, amelyet zártnak hitt. A régi válasz erre a kérdésre a netstat, és ma is helytálló; csak a kimenetét minden alkalommal végig kell olvasni szemmel.