Firewall UFW

Webové rozhranie UFW na prechádzanie pravidiel firewallu

UFW existuje preto, že holá syntax iptables neodpúšťa nič, a v tom obstojí. Čo nerobí, je sprehľadniť súbor pravidiel mesiace potom, keď ufw status numbered vráti tridsať riadkov a vy zisťujete, ktoré z nich sú ešte potrebné.

Táto stránka ukazuje tie isté pravidlá, ale predvolené politiky pre prichádzajúcu a odchádzajúcu prevádzku stavia na začiatok, pretože práve na ne sa zabúda. Súbor pravidiel, ktorý vyzerá prísne, neznamená nič, ak predvolená politika pre prichádzajúcu prevádzku zostala na allow. Pravidlá sú uvedené s akciou, portom, protokolom a zdrojom a záznamy IPv6 stoja vedľa svojich náprotivkov IPv4, namiesto toho aby zoznam zdvojnásobili.

Chyby, ktoré stojí za to hľadať: port otvorený kvôli jednému testu a nikdy nezatvorený, služba načúvajúca na všetkých rozhraniach tam, kde by stačil localhost, a pravidlo púšťajúce dnu celú podsieť tam, kde by stačila jediná adresa. Stránka otvorených portov ukazuje druhú polovicu obrazu: čo za tými pravidlami skutočne načúva.

Tieto dva obrazy stojí za to pravidelne porovnávať, pretože sa rozchádzajú potichu. Pravidlo môže zatvárať port, na ktorom nikto nepočúva — potom je len príťažou v sade. Stáva sa aj opak: služba počúva na všetkých rozhraniach za pravidlom, ktoré ste považovali za zatvorené. Starou odpoveďou na túto otázku je netstat a stále platí; len jeho výstup treba zakaždým prečítať očami.