Umgang mit nftables

Housing und Hosting

Anleitung
Linux
Informationen
Betriebssystem	Linux
Service	Housing und Hosting
Interessant für	Angestellte und Studierende
Linux Portalseite

no displaytitle found: Umgang mit nftables

For other articles about this topic, see Hosting - OS

Auf Servern im Hostingmodell OS setzt das IMT auf eine lokale Firewall auf dem Server, die mittels nftables realisiert wird. In dieser Anleitung werden konkrete Beispiele gegeben, um die Firewall wie gewünscht zu manipulieren.

nftables

Einen kurzen Überblick gibt es hier: https://wiki.nftables.org/wiki-nftables/index.php/Quick_reference-nftables_in_10_minutes

Struktur der IMT Regeln

Wir legen für ipv6 und ipv4 verschiedene Tabellen in nftables an. Diese heissen ip und ip6. Im Normalfall sind für Kunden folgende Zeilen relevant:

        chain custom_rules {
                tcp dport { mysql, 9200, 9300, 27017-27019 } jump log-reject comment "No remote access to mysql, mongodb, elasticsearch"
                tcp dport ssh counter  jump ssh comment "jump to ssh chain once"
                tcp dport ssh counter jump admin_access comment "jump to ssh chain once"
                tcp dport ssh counter jump log-reject comment "Drop everything ssh that was not allowed yet"
                counter  accept comment "Hosted Server accepts everything that is not explicitly filtered"
        }

Somit wird automatisch der komplette Zugriff auf den Host freigegeben, der nicht in den Ports (22,3306,9200,9300,27017-27019) liegt. Wollen Sie den Zugriff weiter einschränken, können Sie das über eine Datei in /etc/nftables.d realisieren. Es liegt bereits eine Beispieldatei im Ordner, an der Sie sich orientieren können.

SSH Zugriff

Obwohl Sie ohne Probleme auch den SSH-Zugriff selber anlegen könnten, wäre es ratsam, diesen mit dem IMT abzustimmen, da in der Regel die Datacenter Firewall keinen SSH Zugriff von überall erlaubt, sondern nur von speziellen Jump-Hosts.

docker

Falls Sie Docker auf Ihrem Server einsetzen wollen, dann sagen Sie uns bitte bescheid, damit wir docker korrekt konfigurieren können. Sonst kann es dazu führen, dass eine Änderung an den Regeln Anwendungen, die in docker Containern laufen, unerreichbar macht.

Externe Firewalls

Bitte beachten Sie, dass ihr Server hinter weiteren Firewalls steht. Nur weil ein Port auf dem Server geöffnet wurde, heißt nicht, dass dieser automatisch aus dem Internet erreichbar ist. Bitte besprechen Sie das weitere Vorgehen mit dem IMT.

Siehe auch

Hosting - OS

---

Bei Fragen oder Problemen wenden Sie sich bitte telefonisch oder per E-Mail an uns:

Tel. IT: +49 (5251) 60-5544 • Tel. Medien: +49 (5251) 60-2821 • E-Mail: zim@uni-paderborn.de

Das Notebook-Café ist die Benutzerberatung des ZIM - Sie finden uns in Raum I0.401

Wir sind zu folgenden Zeiten erreichbar:

	Mo-Do	Fr
Vor-Ort-Support	08:30 - 16:00	08:30 - 14:00
Telefonsupport	08:30 - 16:00	08:30 - 14:00

Das ZIM:Servicecenter Medien auf H1 hat aktuell zu folgenden Zeiten geöffnet:

Mo-Do	Fr
08:00 - 16:00	08:00 - 14:30