एक उदाहरण के रूप में zabbix का उपयोग करने वाले docker के लिए कस्टम iptables नियम

टास्क: विशिष्ट आईपी पते को छोड़कर सभी आने वाले कनेक्शन बंद कर दें।

वहाँ एक परीक्षण वातावरण है जिसमें लीनियर और स्टेटिक आईपी एड्रेस के साथ तीन विंडो हैं। Linux पर, zabbix , redmine images के साथ docker स्थापित है। और zabbix से दो विंडो मशीन एजेंट स्थापित और कॉन्फ़िगर किए गए हैं, तीसरे पर आपको zabbix देखने की क्षमता को व्यवस्थित करने की आवश्यकता है। ज़ैबिक्स सर्वर से अन्य उपयोगकर्ताओं को प्रतिबंधित करना आवश्यक है, लेकिन रेडमीन से सीमित नहीं है।

सभी कमांड को रूट के रूप में निष्पादित किया जाता है।

आधिकारिक दस्तावेज का कहना है कि iptables DOCKER-USER नियम। इस नियम को बदलना केवल आवश्यक है। पहले, हम देखते हैं कि नियम क्या हैं, हम केवल कुछ नियमों पर ध्यान केंद्रित करते हैं।

यह देखा जा सकता है कि DOCKER-USER को लक्षित करने वाला नियम FORWARD नियम में पहला है। इसलिए, आपको केवल इसे बदलना चाहिए।

iptables -L FORWARD -n -v Chain FORWARD (policy DROP 0 packets, 0 bytes) pkts bytes target prot opt in out source destination 421K 169M DOCKER-USER all -- * * 0.0.0.0/0 0.0.0.0/0 419K 167M DOCKER-ISOLATION-STAGE-1 all -- * * 0.0.0.0/0 0.0.0.0/0 

DOCKER नियम तालिका से, आप देख सकते हैं कि कौन से पोर्ट खुले हैं और कंटेनरों के आंतरिक आईपी पते।

 iptables -L DOCKER -n -v Chain DOCKER (4 references) pkts bytes target prot opt in out source destination 0 0 ACCEPT tcp -- !docker_redmine docker_redmine 0.0.0.0/0 172.16.237.2 tcp dpt:3000 0 0 ACCEPT udp -- !br-c56432fe07cc br-c56432fe07cc 0.0.0.0/0 172.16.238.2 udp dpt:162 0 0 ACCEPT tcp -- !br-c56432fe07cc br-c56432fe07cc 0.0.0.0/0 172.16.238.3 tcp dpt:10051 0 0 ACCEPT tcp -- !br-c56432fe07cc br-c56432fe07cc 0.0.0.0/0 172.16.238.4 tcp dpt:443 5 248 ACCEPT tcp -- !br-c56432fe07cc br-c56432fe07cc 0.0.0.0/0 172.16.238.4 tcp dpt:80 

DOCKER-USER नियम में कोई विशेष नियम नहीं हैं, पूरा कनेक्शन स्वयं ही गुजरता है।

 iptables -L DOCKER-USER -n -v Chain DOCKER-USER (1 references) pkts bytes target prot opt in out source destination 4180 1634K RETURN all -- * * 0.0.0.0/0 0.0.0.0/0 

सबसे पहले, हम zabbix नेटवर्क से निपटेंगे, अर्थात्, हम एक निरंतर नेटवर्क नाम स्थापित करेंगे। ताकि जब आप docker-compose को दोबारा बनायें, तो नेटवर्क का नाम न बदले। नेटवर्क की वर्तमान स्थिति से, zabbix में br-c56432fe07cc नामक एक नेटवर्क है, जो बहुत अच्छा नहीं है। * .Yaml फ़ाइल में, नेटवर्क नाम zbx_net_frontend के लिए जिम्मेदार एक पंक्ति जोड़ें: "com.docker.network.bridge.name:" docker_zabbix "।

कॉन्फ़िगरेशन का हिस्सा:

 networks: zbx_net_frontend: driver: bridge driver_opts: com.docker.network.enable_ipv6: "false" com.docker.network.bridge.name: "docker_zabbix" 

हम नेटवर्क को फिर से बनाने के बाद। अपने * .yaml के साथ प्रतिस्थापित किया जाना चाहिए।

 docker-compose -f docker-compose_v3_ubuntu_mysql_latest.yaml down docker-compose -f docker-compose_v3_ubuntu_mysql_latest.yaml up -d 

हम DOCKER नियम को देखते हैं।

 iptables -L DOCKER -n -v Chain DOCKER (4 references) pkts bytes target prot opt in out source destination 0 0 ACCEPT tcp -- !docker_redmine docker_redmine 0.0.0.0/0 172.16.237.2 tcp dpt:3000 0 0 ACCEPT udp -- !docker_zabbix docker_zabbix 0.0.0.0/0 172.16.238.2 udp dpt:162 0 0 ACCEPT tcp -- !docker_zabbix docker_zabbix 0.0.0.0/0 172.16.238.3 tcp dpt:10051 0 0 ACCEPT tcp -- !docker_zabbix docker_zabbix 0.0.0.0/0 172.16.238.4 tcp dpt:443 5 252 ACCEPT tcp -- !docker_zabbix docker_zabbix 0.0.0.0/0 172.16.238.4 tcp dpt:80 

यह नियम को DOCKER-USER तालिका में जोड़ता है। सबसे पहले, हम बाहरी इंटरफ़ेस से docker_zabbix नेटवर्क के सभी कनेक्शनों के लिए DROP नियम लागू करते हैं (मेरे पास eth0 है )।

 iptables -I DOCKER-USER -i eth0 -o docker_zabbix -j DROP 

अब सभी कनेक्शन docker_zabbix नेटवर्क से वंचित हैं। आइए एक आईपी पते के लिए कनेक्शन की अनुमति दें, अधिक सटीक रूप से, आगे के साथ पैकेट आगे भी जारी रह सकता है।

 iptables -I DOCKER-USER -i eth0 -s 192.168.43.55 -j RETURN 

Docker_zabbix नेटवर्क स्पष्ट रूप से यहां निर्दिष्ट नहीं किया गया था। हम होस्टबेल का उपयोग करके 192.168.43.55 से ज़ैबिक्स की उपलब्धता की जांच करते हैं।

 tnc 192.168.43.136 -port 8081 ComputerName : 192.168.43.136 RemoteAddress : 192.168.43.136 RemotePort : 8081 InterfaceAlias : vEthernet (Swich_in) SourceAddress : 192.168.43.55 TcpTestSucceeded : True 

8081 पोर्ट जैबिक्स डॉकटर के लिए खुला है। यह सुनिश्चित करने के लिए कि ज़ैबिक्स 8081 पोर्ट से संबंधित है।

 docker ps CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES c047f18a4445 zabbix/zabbix-web-nginx-mysql:ubuntu-4.2-latest "docker-entrypoint.sh" About an hour ago Up About an hour (healthy) 0.0.0.0:8081->80/tcp, 127.0.0.1:8443->443/tcp zabbix_zabbix-web-nginx-mysql_1 

लेकिन ध्यान रखें कि नियमों को पोर्ट 80 निर्दिष्ट करना होगा, 8081 नहीं। यदि आप पोर्ट 8081 निर्दिष्ट करते हैं, तो ज़ैबिक्स तक पहुंच नहीं खोली जाएगी। दूसरे होस्ट के लिए, कमांड।

 iptables -I DOCKER-USER -i eth0 -p tcp --dport 80 -s 192.168.43.10 -j RETURN 

तीसरे होस्ट के लिए, केवल पोर्ट 10051 खोलें, इस होस्ट पर एक सक्रिय एजेंट का उपयोग किया जाता है।

 iptables -I DOCKER-USER -i eth0 -p tcp --dport 10051 -s 192.168.43.13 -j RETURN 

एक और समस्या, हम बाहरी दुनिया में कंटेनरों से नहीं निकल सकते। अधिसूचना स्क्रिप्ट काम नहीं करती है और साइटों की उपलब्धता की जांच नहीं कर सकती है। पहले से मौजूद कनेक्शन को हल करने के लिए एक और कमांड थी।

 iptables -I DOCKER-USER -i eth0 -o docker_zabbix -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 

यह मत भूलो कि सर्वर को रिबूट करने के बाद, बनाए गए नियम मिट जाते हैं।