👩‍👩‍👧 ⛷️ 🤸🏾 सरल फ़ायरवॉल का मतलब कठपुतली है 👯 👩🏽‍🍳 📕

कठपुतली को स्थापित करने और कॉन्फ़िगर करने की मूल बातें पहले ही भाग 1 और भाग 2 प्रकाशित हो चुकी हैं , इसलिए मैं वहां नहीं रुकता लेकिन तुरंत फ़ायरवॉल को कॉन्फ़िगर करने के लिए आगे बढ़ूंगा।

समस्या का बयान

परियोजना कई सर्वरों का उपयोग करती है, जिनमें से अधिकांश क्लाउड में हैं। भाग का उपयोग कंपनी के बुनियादी ढांचे को प्रदान करने के लिए किया जाता है, भाग ग्राहकों को सार्वजनिक सेवा प्रदान करता है। केंद्रीकृत अभिगम नियंत्रण प्रदान किया जाना चाहिए।

हमारे उदाहरण के लिए सर्वर की सूची:

admin.example.com - प्रशासकों और डेवलपर्स के लिए लॉगिन सर्वर, DNS, CRM
www.example.com - वेब सर्वर
app.example.com - एपाचे टॉमकैट एप्लिकेशन सर्वर
mysql.example.com - mysql सर्वर

मूल सेटिंग

सबसे पहले, एक बुनियादी फ़ायरवॉल कॉन्फ़िगरेशन बनाएं जिसमें ssh को छोड़कर सभी आने वाले पोर्ट बंद हो जाएंगे।

 class firewall { exec { 'minimal-firewall': path => ["/bin", "/sbin", "/usr/bin", "/usr/sbin"], command => "iptables -P INPUT DROP \ && iptables -P FORWARD DROP \ && iptables --flush \ && iptables -t nat --flush \ && iptables --delete-chain \ && iptables -P FORWARD DROP \ && iptables -P INPUT DROP \ && iptables -A INPUT -i lo --source 127.0.0.1 --destination 127.0.0.1 -j ACCEPT \ && iptables -A INPUT -m state --state \"ESTABLISHED,RELATED\" -j ACCEPT \ && iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT \ && iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT \ && iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT \ && iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT \ && iptables -A INPUT -p tcp --dport ssh -j ACCEPT \ && iptables -A INPUT -j LOG -m limit --limit 40/minute \ && iptables -A INPUT -j DROP", } }

यहां कोई जादू नहीं है। Iptables नियम "iptables न्यूनतम फ़ायरवॉल" पर Google हैं, पहला लिंक सही है। केवल अंतर: संस्थाओं का उत्पादन नहीं करने के लिए - एक अलग स्क्रिप्ट बनाने के लिए नहीं, सभी आदेशों को एक &&

ऑपरेटर में जोड़ा जाता है।

इस कॉन्फ़िगरेशन को सर्वर पर लागू करने के लिए, आपको कठपुतली नोड की शब्दावली में, सर्वर सेटिंग्स में वर्ग को निर्दिष्ट करने की आवश्यकता है:

 node 'www' { include firewall }

होस्ट नाम FQDN या संक्षिप्त होस्ट नाम दोनों में से एक हो सकता है। डिफ़ॉल्ट रूप से, कठपुतली क्लाइंट हर तीस मिनट में कॉन्फ़िगरेशन को फिर से पढ़ता है, इसलिए आप थोड़ा इंतजार कर सकते हैं, या प्रक्रिया को एक SITEUP संकेत भेज सकते हैं, या बस सेवा को पुनरारंभ कर सकते हैं। उसके बाद, आप सत्यापित कर सकते हैं कि फ़ायरवॉल नियम लागू किए गए हैं: iptables -L

।

इनपुट पोर्ट खोलें

थोड़ी सूक्ष्मता है। नियमों को iptables मामलों में जोड़ने का क्रम, अगर हम सिर्फ एक नया नियम जोड़ते हैं जो पोर्ट तक पहुंच की अनुमति देता है, तो यह कभी भी काम नहीं करेगा। इसलिए, हम नए नियम को सही स्थान पर सम्मिलित करेंगे। इसे परिभाषित करना बहुत सरल है: कमांड iptables -L --line-numbers

और ssh 7 ACCEPT tcp -- anywhere anywhere tcp dpt:ssh

साथ एक पंक्ति देखें 7 ACCEPT tcp -- anywhere anywhere tcp dpt:ssh

उल्लेख करें 7 ACCEPT tcp -- anywhere anywhere tcp dpt:ssh

। इसलिए हम नियम 7 की स्थिति में सम्मिलित करेंगे।

 define allowport ($protocol, $port) { exec { "/sbin/iptables -I INPUT 7 -p $protocol --dport $port -j ACCEPT": require => Exec['minimal-firewall'], } }

फिर www नोड का विन्यास बन जाता है:

 node 'www' { allowport { http: protocol => tcp, port => 80, } allowport { https: protocol => tcp, port => 443, } include firewall }

कृपया ध्यान दें: कठपुतली वर्णनात्मक भाषा घोषणात्मक है, नियम निष्पादन आदेश परिभाषित नहीं है। इसलिए, वास्तव में, सभी समान, पहले 'आयात फ़ायरवॉल' और फिर 'अनुमति' या इसके विपरीत लिखा जाएगा। हमारे लिए, यह महत्वपूर्ण है कि न्यूनतम फ़ायरवॉल सेट करने का नियम पहले काम करता है, और उसके बाद ही - पोर्ट का उद्घाटन। यह आवश्यकता अनुमति की परिभाषा में दर्ज की गई है - require => Exec['minimal-firewall']

निष्पादित require => Exec['minimal-firewall']

व्यवस्थापक सर्वर कॉन्फ़िगरेशन:

 node 'admin' { allowport { dns1: protocol => tcp, port => 53, } allowport { dns2: protocol => udp, port => 53, } allowport { http: protocol => tcp, port => 80, } allowport { webmin: protocol => tcp, port => 10000, } include firewall }

नियमों की शिकायत करें

टॉमकैट एप्लिकेशन सर्वर को एक अप्रभावी उपयोगकर्ता से शुरू किया जाना चाहिए, जबकि इसे मानक 443 पोर्ट से जवाब देना होगा। इसलिए, हम कनेक्शन का पता अनुवाद (DNAT) 443 पोर्ट को 8443 पर रीडायरेक्ट करने के लिए करेंगे, जिस पर टॉमकैट सुनेंगे।

 define dnat ($protocol, $from, $to) { exec { 'dnat-$protocol-$from-$to': command => "/sbin/iptables -t nat -A PREROUTING -d $hostname -p $protocol --dport $from -j DNAT --to-destination $to \ && /sbin/iptables -t nat -A OUTPUT -d $hostname -p $protocol --dport $from -j DNAT --to-destination $to ", require => Exec['minimal-firewall'], } }

हम एप्लिकेशन सर्वर के कॉन्फ़िगरेशन का वर्णन करते हैं:

 node 'app' { allowport { https: protocol => tcp, port => 443, } allowport { tomcat: protocol => tcp, port => 8443, } dnat { java: protocol => tcp, from => 443, to => ':8443', } include firewall }

कंपनी के बाहर से माईस्क्ल सर्वर उपलब्ध नहीं होना चाहिए। यदि आवश्यक हो, तो डेवलपर्स इसे व्यवस्थापक सर्वर से एक्सेस करते हैं। उचित परिभाषा का उपयोग करके पहुंच को प्रतिबंधित करें:

 define dmzport ($protocol, $port) { exec { 'dmz-$protocol-$port': command => "/sbin/iptables -I INPUT 7 -s admin.example.com -p $protocol --dport $port -j ACCEPT \ && /sbin/iptables -I INPUT 7 -s www.example.com -p $protocol --dport $port -j ACCEPT \ && /sbin/iptables -I INPUT 7 -s mysql.example.com -p $protocol --dport $port -j ACCEPT \ && /sbin/iptables -I INPUT 7 -s app.example.com -p $protocol --dport $port -j ACCEPT", require => Exec['minimal-firewall'], } }

अब mysql नोड कॉन्फ़िगरेशन:

 node 'mysql' { dmzport { mysql: protocol => tcp, port => 3306, } include firewall }

इस प्रकार, हमें कंपनी के सभी सर्वरों के लिए एक सरल केंद्रीकृत फ़ायरवॉल मिला।

सरल फ़ायरवॉल का मतलब कठपुतली है

समस्या का बयान

मूल सेटिंग

इनपुट पोर्ट खोलें

नियमों की शिकायत करें

More articles: