Автор Тема: SSH не работает при включенном UFW (Прочитано 4976 раз)

Trulala · « : 05 Июня 2025, 20:39:49 »

Здравствуйте. У меня сервер VDS на Ubuntu 22.04. Вырубается SSH, пишу в техподдержку, они отключают UFW, SSH снова работает. Включаю UFW и через некоторое время SSH снова не работает. Техподдержка говорит настроить правила UFW.
Вот правила:
To Action From
-- ------ ----
80 ALLOW IN Anywhere
443 ALLOW IN Anywhere
22/tcp ALLOW IN Anywhere
80/tcp ALLOW IN Anywhere
21/tcp ALLOW IN Anywhere
80 (v6) ALLOW IN Anywhere (v6)
443 (v6) ALLOW IN Anywhere (v6)
22/tcp (v6) ALLOW IN Anywhere (v6)
80/tcp (v6) ALLOW IN Anywhere (v6)
21/tcp (v6) ALLOW IN Anywhere (v6)

Не понимаю, что не так с правилами. Помогите.

bezbo · « **Ответ #1 :** 05 Июня 2025, 20:54:46 »

Код: [Выделить]

sudo ufw status numbered
sudo iptables -L -v -n

?

Trulala · « **Ответ #2 :** 05 Июня 2025, 21:09:26 »

Цитата: bezbo от 05 Июня 2025, 20:54:46

sudo ufw status numbered

Status: active

To Action From
-- ------ ----
[ 1] 80 ALLOW IN Anywhere
[ 2] 443 ALLOW IN Anywhere
[ 3] 22/tcp ALLOW IN Anywhere
[ 4] 80/tcp ALLOW IN Anywhere
[ 5] 21/tcp ALLOW IN Anywhere
[ 6] 22 ALLOW IN Anywhere
[ 7] OpenSSH ALLOW IN Anywhere
[ 8] 80 (v6) ALLOW IN Anywhere (v6)
[ 9] 443 (v6) ALLOW IN Anywhere (v6)
[10] 22/tcp (v6) ALLOW IN Anywhere (v6)
[11] 80/tcp (v6) ALLOW IN Anywhere (v6)
[12] 21/tcp (v6) ALLOW IN Anywhere (v6)
[13] 22 (v6) ALLOW IN Anywhere (v6)
[14] OpenSSH (v6) ALLOW IN Anywhere (v6)

Пользователь добавил сообщение 05 Июня 2025, 21:11:42:

Цитата: bezbo от 05 Июня 2025, 20:54:46

sudo iptables -L -v -n

(Нажмите, чтобы показать/скрыть)

Smörman · « **Ответ #3 :** 05 Июня 2025, 21:26:04 »

Что выдаст:

Код: [Выделить]

ss -tunlpс вкл. UFW и с выключенным?
SSH на 22 порту работает.

Здесь список портов по умолчанию:

(Нажмите, чтобы показать/скрыть)

Trulala · « **Ответ #4 :** 05 Июня 2025, 21:35:03 »

Цитата: Smörman от 05 Июня 2025, 21:26:04

с вкл. UFW и с выключенным

off

(Нажмите, чтобы показать/скрыть)

/etc/default$ ss -tunlp
Netid State Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
udp UNCONN 0 0 127.0.0.53%lo:53 0.0.0.0:* users:(("systemd-resolve",pid=550,fd=13))
udp UNCONN 0 0 0.0.0.0:42049 0.0.0.0:* users:(("docker-proxy",pid=1436,fd=4))
udp UNCONN 0 0 0.0.0.0:34165 0.0.0.0:* users:(("docker-proxy",pid=1606,fd=4))
udp UNCONN 0 0 0.0.0.0:4500 0.0.0.0:* users:(("docker-proxy",pid=1640,fd=4))
udp UNCONN 0 0 0.0.0.0:500 0.0.0.0:* users:(("docker-proxy",pid=1663,fd=4))
udp UNCONN 0 0 [::]:42049 [::]:* users:(("docker-proxy",pid=1450,fd=4))
udp UNCONN 0 0 [::]:34165 [::]:* users:(("docker-proxy",pid=1610,fd=4))
udp UNCONN 0 0 [::]:4500 [::]:* users:(("docker-proxy",pid=1644,fd=4))
udp UNCONN 0 0 [::]:500 [::]:* users:(("docker-proxy",pid=1669,fd=4))
tcp LISTEN 0 151 127.0.0.1:3306 0.0.0.0:* users:(("mysqld",pid=1001,fd=24))
tcp LISTEN 0 4096 127.0.0.1:40427 0.0.0.0:* users:(("containerd",pid=956,fd=11))
tcp LISTEN 0 70 127.0.0.1:33060 0.0.0.0:* users:(("mysqld",pid=1001,fd=21))
tcp LISTEN 0 128 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=969,fd=3))
tcp LISTEN 0 4096 127.0.0.53%lo:53 0.0.0.0:* users:(("systemd-resolve",pid=550,fd=14))
tcp LISTEN 0 4096 0.0.0.0:443 0.0.0.0:* users:(("docker-proxy",pid=1564,fd=4))
tcp LISTEN 0 4096 0.0.0.0:5443 0.0.0.0:* users:(("docker-proxy",pid=1498,fd=4))
tcp LISTEN 0 511 *:80 *:* users:(("apache2",pid=5614,fd=4),("apache2",pid=1000,fd=4),("apache2",pid=999,fd=4),("apache2",pid=998,fd=4),("apache2",pid=997,fd=4),("apache2",pid=996,fd=4),("apache2",pid=978,fd=4))
tcp LISTEN 0 128 [::]:22 [::]:* users:(("sshd",pid=969,fd=4))
tcp LISTEN 0 4096 [::]:443 [::]:* users:(("docker-proxy",pid=1568,fd=4))
tcp LISTEN 0 4096 [::]:5443 [::]:* users:(("docker-proxy",pid=1502,fd=4))

on

(Нажмите, чтобы показать/скрыть)

/etc/default$ ss -tunlp
Netid State Recv-Q Send-Q Local Address:Port Peer Address:PortProcess
udp UNCONN 0 0 127.0.0.53%lo:53 0.0.0.0:* users:(("systemd-resolve",pid=550,fd=13))
udp UNCONN 0 0 0.0.0.0:42049 0.0.0.0:* users:(("docker-proxy",pid=1436,fd=4))
udp UNCONN 0 0 0.0.0.0:34165 0.0.0.0:* users:(("docker-proxy",pid=1606,fd=4))
udp UNCONN 0 0 0.0.0.0:4500 0.0.0.0:* users:(("docker-proxy",pid=1640,fd=4))
udp UNCONN 0 0 0.0.0.0:500 0.0.0.0:* users:(("docker-proxy",pid=1663,fd=4))
udp UNCONN 0 0 [::]:42049 [::]:* users:(("docker-proxy",pid=1450,fd=4))
udp UNCONN 0 0 [::]:34165 [::]:* users:(("docker-proxy",pid=1610,fd=4))
udp UNCONN 0 0 [::]:4500 [::]:* users:(("docker-proxy",pid=1644,fd=4))
udp UNCONN 0 0 [::]:500 [::]:* users:(("docker-proxy",pid=1669,fd=4))
tcp LISTEN 0 151 127.0.0.1:3306 0.0.0.0:* users:(("mysqld",pid=1001,fd=24))
tcp LISTEN 0 4096 127.0.0.1:40427 0.0.0.0:* users:(("containerd",pid=956,fd=11))
tcp LISTEN 0 70 127.0.0.1:33060 0.0.0.0:* users:(("mysqld",pid=1001,fd=21))
tcp LISTEN 0 128 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=969,fd=3))
tcp LISTEN 0 4096 127.0.0.53%lo:53 0.0.0.0:* users:(("systemd-resolve",pid=550,fd=14))
tcp LISTEN 0 4096 0.0.0.0:443 0.0.0.0:* users:(("docker-proxy",pid=1564,fd=4))
tcp LISTEN 0 4096 0.0.0.0:5443 0.0.0.0:* users:(("docker-proxy",pid=1498,fd=4))
tcp LISTEN 0 511 *:80 *:* users:(("apache2",pid=5614,fd=4),("apache2",pid=1000,fd=4),("apache2",pid=999,fd=4),("apache2",pid=998,fd=4),("apache2",pid=997,fd=4),("apache2",pid=996,fd=4),("apache2",pid=978,fd=4))
tcp LISTEN 0 128 [::]:22 [::]:* users:(("sshd",pid=969,fd=4))
tcp LISTEN 0 4096 [::]:443 [::]:* users:(("docker-proxy",pid=1568,fd=4))
tcp LISTEN 0 4096 [::]:5443 [::]:* users:(("docker-proxy",pid=1502,fd=4))

Smörman · « **Ответ #5 :** 06 Июня 2025, 09:57:33 »

Разницы я не вижу, что с ним, что без него, 22 порт под SSH только.
А вот вывод iptables конечно впечатляет!
А что, хоть, напихано куча правил?
Какие задачи выполняются вообще?
В Докер поставлено что-то, вижу, а UFW зачем прописан в Iptables?
Если есть Iptables активный, зачем ещё UFW и тем паче его в правила Iptables прописывать?
UFW по факту - это тоже, что Iptables, только в более простом исполнении, более понятном исполнении.

ALiEN · « **Ответ #6 :** 06 Июня 2025, 11:16:49 »

Цитата: Smörman от 06 Июня 2025, 09:57:33

UFW зачем прописан в Iptables?

UFW это обёртка над iptables/nftables. Естественно, он туда прописан.

Smörman · « **Ответ #7 :** 06 Июня 2025, 11:26:56 »

Цитата: ALiEN от 06 Июня 2025, 11:16:49

UFW это обёртка над iptables/nftables. Естественно, он туда прописан.

Про обёртку точнее конечно и правильнее сформулировано, я бы сказал надстройка.

У меня на серваках установлены и iptables и ufw по умолчанию, при выводе правил iptables для ufw нет ничего:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

root@my-vps:~# iptables -L -v -n
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
6031K 6819M DOCKER-USER  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
6031K 6819M DOCKER-FORWARD  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
4695K 6495M ACCEPT     0    --  ens6   wg0     0.0.0.0/0            0.0.0.0/0           
1336K  325M ACCEPT     0    --  wg0    *       0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain DOCKER (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       0    --  !docker0 docker0  0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-BRIDGE (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     0    --  *      docker0  0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-CT (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     0    --  *      docker0  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED

Chain DOCKER-FORWARD (1 references)
 pkts bytes target     prot opt in     out     source               destination         
6031K 6819M DOCKER-CT  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
6031K 6819M DOCKER-ISOLATION-STAGE-1  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
6031K 6819M DOCKER-BRIDGE  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     0    --  docker0 *       0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-ISOLATION-STAGE-1 (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER-ISOLATION-STAGE-2  0    --  docker0 !docker0  0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-ISOLATION-STAGE-2 (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       0    --  *      docker0  0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-USER (1 references)
 pkts bytes target     prot opt in     out     source               destination

т.к. ufw в режиме disabled, т.е. отключен, за ненадобностью, т.к. всё настроено в iptables.

И при этом, все правила Iptables для Wireguard (wg0) например прописаны не в Iptables, а в самом конфиге WG (wg0.conf) через:

Код: [Выделить]

PostUp
PostDown
PreDown

и запускаются/выключаются они в Iptables со запуском/выключением WG, например:

Код: [Выделить]

PostUp = iptables -A FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -i %i -j ACCEPT

что освобождает нас от прописывания данных правил в самой Iptables.

У ТС в правилах Iptables, куча ограничительных правил для UFW понаписано зачем-то, хотя в самом UFW всё разрешено и поэтому при включении UFW идёт конфликт между ними (правилами), поэтому и отрубает SSH и может не только его...
Везде в манах категорически говорится, что вместе их использовать нельзя, дабы избежать вот этих самых конфликтов.
Либо Iptables, либо UFW, другого не дано...
Поэтому сюппорт ТС и отключает UFW.

Trulala · « **Ответ #8 :** 06 Июня 2025, 17:55:53 »

Цитата: Smörman от 06 Июня 2025, 11:26:56

Либо Iptables, либо UFW, другого не дано

Вы советуете отключить UFW? Это не повлияет на безопасность?

Smörman · « **Ответ #9 :** 06 Июня 2025, 18:40:06 »

Цитата: Trulala от 06 Июня 2025, 17:55:53

Это не повлияет на безопасность?

Каким образом?!
У вас Iptables настроен от и до, и даже нагорожено с UFW зачем-то, непонятно зачем, я скидывал свой выхлоп со своего сервака с отключенным UFW, ощутите разницу!
Всё работает на УРА!

Легко нахухливается, что - работа Iptables и UFW вместе категорически НЕЛЬЗЯ!!!
Ибо конфликты правил, поэтому ваш сюппорт и отключает UFW, а вы снова пытаетесь его втулить!
Зачем?!
Если вы хотите некие правила, то ищите их вариант под Iptables или наоборот, все правила онли в UFW, а Iptables отключить.
Другого не дано.
Вместе они работать не должны.
Или один, или другой.

ALiEN · « **Ответ #10 :** 06 Июня 2025, 18:55:35 »

Цитата: Smörman от 06 Июня 2025, 11:26:56

У меня на серваках установлены и iptables и ufw по умолчанию, при выводе правил iptables для ufw нет ничего:

А почему пакеты input/output по нулям? Да и policy везде accept. Нужен ли вообще iptables в таком случае?

(Нажмите, чтобы показать/скрыть)

Smörman · « **Ответ #11 :** 06 Июня 2025, 19:25:13 »

Цитата: ALiEN от 06 Июня 2025, 18:55:35

А почему пакеты input/output по нулям?

Ну, как же?
А это из вывода?

Код: [Выделить]

Chain INPUT (policy DROP 4036 packets, 198K bytes)
Chain OUTPUT (policy ACCEPT 22M packets, 125G bytes)

и не только...

Код: [Выделить]

458 21124 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate INVALID
27M  125G ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED

Мегабайты/Гигабайты...
Всё нормуль!

ALiEN · « **Ответ #12 :** 06 Июня 2025, 19:43:19 »

Smörman, Это я про ваш спойлер =) Мой спойлер для примера привел.

Smörman · « **Ответ #13 :** 06 Июня 2025, 19:45:35 »

Цитата: ALiEN от 06 Июня 2025, 18:55:35

Нужен ли вообще iptables в таком случае?

Кстати резонный вопрос!

Мониторил я...
Много чего из разных утилит, прог и пр. работают прекрасно на серваках и с отключенными Iptables/UFW, как бы не казалось странным.
А ларчик прост на самом деле.
У хостеров оооочень часто на серверах своих с VPS/VDS и пр. присутствует External Firewall (чаще всего на основе Plesk), т.е., чтобы ты не настроил на самом своём Internal VPS/VDS и пр. всё это до звезды!
Но!
Как правило, порты и IP из коробки, базовые:
443
80
22
и пр.
они по умолчанию в External Firewall включены (я кидал выше ссылку на открытые по умолчанию порты в Plesk)
Пока ты в Панели управления серваком/ЛК не откроешь порты те же или IP, всё до звезды с настройками Iptables/UFW.
Я писал об этом недавно здесь в нашей теме закрытой на примере дойч-хостера, где я взял сервак (кстати по наколке нашего уважаемого Товарища там же в теме).
И будет disabled Iptables/UFW на своём VPS/VDS и пр., а в Панели управления серваком/ЛК будут активированы порты/IP, будет всё работать!
Вот такие приколы...

Пользователь добавил сообщение 06 Июня 2025, 19:50:20:

Цитата: ALiEN от 06 Июня 2025, 19:43:19

Это я про ваш спойлер

Так у меня тоже, если приглядеться есть меги/гиги

Вот свежачок, сынок цельный день шпилится в игрища и Дискорд:

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

sudo iptables -nvL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
6266K 7044M DOCKER-USER  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
6266K 7044M DOCKER-FORWARD  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
4873K 6710M ACCEPT     0    --  ens6   wg0     0.0.0.0/0            0.0.0.0/0           
1393K  335M ACCEPT     0    --  wg0    *       0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain DOCKER (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       0    --  !docker0 docker0  0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-BRIDGE (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER     0    --  *      docker0  0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-CT (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     0    --  *      docker0  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED

Chain DOCKER-FORWARD (1 references)
 pkts bytes target     prot opt in     out     source               destination         
6266K 7044M DOCKER-CT  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
6266K 7044M DOCKER-ISOLATION-STAGE-1  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
6266K 7044M DOCKER-BRIDGE  0    --  *      *       0.0.0.0/0            0.0.0.0/0           
    0     0 ACCEPT     0    --  docker0 *       0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-ISOLATION-STAGE-1 (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DOCKER-ISOLATION-STAGE-2  0    --  docker0 !docker0  0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-ISOLATION-STAGE-2 (1 references)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 DROP       0    --  *      docker0  0.0.0.0/0            0.0.0.0/0           

Chain DOCKER-USER (1 references)
 pkts bytes target     prot opt in     out     source               destination

Но рулит на этом дойч-серваке External Firewall в основном.
В выхлопе есть правила, добавленные не в сам Iptables, а из конфига WG, о чём я писал выше...

Сына через Marzban (VLESS) шпилит (в DOCKER установлена...), а я через WG+Wstunnel, что видно по выхлопу...

Trulala · « **Ответ #14 :** 06 Июня 2025, 20:09:34 »

Цитата: Smörman от 06 Июня 2025, 18:40:06

месте они работать не должны.

Я отключил UFW. Посмотрим, что будет. А вам спасибо за помощь.

Форум русскоязычного сообщества Ubuntu

Автор Тема: SSH не работает при включенном UFW (Прочитано 4976 раз)

Trulala

SSH не работает при включенном UFW

bezbo

Re: SSH не работает при включенном UFW

Trulala

Re: SSH не работает при включенном UFW

Smörman

Re: SSH не работает при включенном UFW

Trulala

Re: SSH не работает при включенном UFW

Smörman

Re: SSH не работает при включенном UFW

ALiEN

Re: SSH не работает при включенном UFW

Smörman

Re: SSH не работает при включенном UFW

Trulala

Re: SSH не работает при включенном UFW

Smörman

Re: SSH не работает при включенном UFW

ALiEN

Re: SSH не работает при включенном UFW

Smörman

Re: SSH не работает при включенном UFW

ALiEN

Re: SSH не работает при включенном UFW

Smörman

Re: SSH не работает при включенном UFW

Trulala

Re: SSH не работает при включенном UFW