UFW-brannmur

Et UFW-webgrensesnitt for å gå gjennom brannmurreglene

UFW finnes fordi den rene iptables-syntaksen ikke tilgir noe, og der lykkes det. Det det ikke gjør, er å gjøre et regelsett lett å gjennomgå måneder senere, når ufw status numbered gir tretti linjer og du prøver å finne ut hvilke som fortsatt trengs.

Denne siden viser de samme reglene, men setter standardpolicyene for innkommende og utgående trafikk øverst, for det er nettopp dem man glemmer. Et regelsett som ser strengt ut betyr ingenting hvis standardpolicyen for innkommende trafikk fortsatt står på allow. Reglene vises med handling, port, protokoll og kilde, og IPv6-oppføringene står ved siden av sine IPv4-motstykker i stedet for å doble listen.

Feilene det lønner seg å lete etter: en port som ble åpnet for en test og aldri lukket, en tjeneste som lytter på alle grensesnitt når localhost holdt, og en regel som slipper inn et helt subnett der én adresse ville vært nok. Siden med åpne porter viser den andre halvdelen av bildet: hva som faktisk lytter bak reglene.

Disse to bildene er verdt å sammenligne jevnlig, for de glir fra hverandre i stillhet. En regel kan stenge en port ingen lytter på — da er den bare ballast i regelsettet. Det kan gå motsatt vei også: en tjeneste som lytter på alle grensesnitt bak en regel du trodde var lukket. Det gamle svaret på det spørsmålet er netstat, og det holder fremdeles; utdataene må bare leses gjennom med øynene hver gang.