Zapora UFW

Interfejs webowy UFW do przeglądania reguł zapory

UFW istnieje dlatego, że surowa składnia iptables niczego nie wybacza, i w tym się sprawdza. Czego nie robi, to nie ułatwia przejrzenia zestawu reguł kilka miesięcy później, kiedy ufw status numbered zwraca trzydzieści linii, a ty próbujesz ustalić, które z nich są jeszcze potrzebne.

Ta strona pokazuje te same reguły, ale na początku umieszcza polityki domyślne dla ruchu przychodzącego i wychodzącego, bo to właśnie o nich się zapomina. Zestaw reguł wyglądający restrykcyjnie nic nie znaczy, jeśli polityka domyślna dla ruchu przychodzącego została na allow. Reguły widoczne są z akcją, portem, protokołem i źródłem, a wpisy IPv6 stoją obok swoich odpowiedników IPv4, zamiast podwajać listę.

Błędy warte szukania: port otwarty na jeden test i nigdy niezamknięty, usługa nasłuchująca na wszystkich interfejsach, choć wystarczyłby localhost, oraz reguła wpuszczająca całą podsieć tam, gdzie starczyłby jeden adres. Strona otwartych portów pokazuje drugą połowę obrazu: co naprawdę nasłuchuje za tymi regułami.

Te dwa obrazy warto zestawiać regularnie, bo rozchodzą się po cichu. Reguła może zamykać port, którego nikt nie słucha — wtedy jest tylko balastem w zestawie. Bywa i odwrotnie: usługa nasłuchuje na wszystkich interfejsach za regułą uznaną za zamkniętą. Dawną odpowiedzią na to pytanie jest netstat i pozostaje ona słuszna; tyle że jego wynik trzeba za każdym razem przeczytać wzrokiem.