Tường lửa UFW

Một giao diện web UFW để rà lại quy tắc tường lửa

UFW tồn tại vì cú pháp iptables thô không tha thứ điều gì, và ở việc đó nó thành công. Điều nó không làm là khiến một bộ quy tắc dễ rà lại sau nhiều tháng, khi ufw status numbered trả về ba mươi dòng và bạn đang cố tìm xem dòng nào vẫn còn cần thiết.

Trang này hiện đúng những quy tắc ấy, nhưng đặt chính sách mặc định cho lưu lượng vào và ra lên trước, bởi đó chính là thứ bị quên. Một bộ quy tắc trông chặt chẽ chẳng có nghĩa gì nếu chính sách mặc định cho lưu lượng vào vẫn để ở allow. Các quy tắc hiện kèm hành động, cổng, giao thức và nguồn, còn các mục IPv6 đứng cạnh mục IPv4 tương ứng thay vì làm danh sách dài gấp đôi.

Những lỗi đáng tìm: một cổng mở ra cho một lần thử rồi không bao giờ đóng lại, một dịch vụ lắng nghe trên mọi giao diện trong khi localhost là đủ, và một quy tắc cho cả một mạng con đi vào ở nơi chỉ cần một địa chỉ. Trang cổng đang mở cho thấy nửa còn lại của bức tranh: thực sự cái gì đang lắng nghe phía sau những quy tắc đó.

Hai bức tranh này đáng được đối chiếu đều đặn, bởi chúng lệch nhau trong im lặng. Một quy tắc có thể đóng cổng mà chẳng ai lắng nghe — khi đó nó chỉ là thứ thừa trong bộ quy tắc. Điều ngược lại cũng xảy ra: một dịch vụ lắng nghe trên mọi giao diện, phía sau quy tắc mà bạn tưởng đã đóng. Câu trả lời cũ cho câu hỏi ấy là netstat, và nó vẫn đúng; chỉ có điều kết quả của nó phải đọc lại bằng mắt mỗi lần.