Dotaz: firewall na openvz

[Jeason]

už jistou dobu hledám jednoduchý a efektivní firewall pro openvz ct.

moje predstava je, aby to nebylo zavyslene na postu prirazenych ip.

vse zakazat, povolit jen porty, které chci pouzivat (web,ssh,ftp,dns,ping). a pro ip v dmz 192.168.0.x mít povolene vse.

idealne kdyby to bylo bud pres jednoduchy konfig ci nejaky jednoduchy web gui. a jednoduse moci vest blacklist IP.

nevíte nekdo o necem, libi se mi iptables, ale nenasel jsem neco hotoveho co bych metodou ctrl c a ctrl v pouzil.

za pripadne typy dekuji

---

---

Odpovědi

[Jendа]

Ty iptables… A nebo různé frontendy k nim (Firehol atd.).

[Jeason]

s iptables si hraji na virtualnim serveru - OpenVZ.

primo na CT mam

venet0:0 - verejnou IP venet0:1 - privatni ip - rekneme lan

a potrebuji na FW nastavit na verejne adrese jen urcite porty , web, ftp a na privani ip chci mit vse povolene.

ale prijde mi ze se mi venet0 vzajemne tluce.

nema nekdo typ jak to vyresit ?

venet nastaveni bych rad zachoval.

[Jendа]

Co je venet0:0 a :1? Nestal ses další obětí nefunkčního ifconfigu?

[Jeason]

nestal jsem se obětí ...

ty ip adresy mam pridelene od poskytovatele a dela to normalne technologie openvz.

je to virtualni ip,

podobne jako je to u eth0:1, eth0:2 ...

jen rozdil ze zde je to virtualni venet0:N

jak jiz zde bylo spravne receno, jedna se o jeden interace, takze na urovni iptables k nemu mohu pristupovat pouze jako interface venet0, nebo mohu pracovat s IP a nasazet si tam ip jak bata cvicky... ale neresi to problem obecnosti a prenositelnosti na jinou VPS, kde bude konfigurace stejna jen jine ip.

[Petr Šobáň]

A kde se tam tedy bere :0 a :1?

Buď tam máš vnet0 a vnet1 nebo tam máš jenom vnet0.

Prostě nám řekni čím to nastavuješ a dodej výpis ip addr ať vidíme co tam je skutečně za rozhraní.

A nevím kde je problém prostě rozhraní vnet0 přiřadím dvě IP a nastavím pravidla ve firewallu.

[Jendа]

nebo mohu pracovat s IP a nasazet si tam ip jak bata cvicky... ale neresi to problem obecnosti a prenositelnosti na jinou VPS, kde bude konfigurace stejna jen jine ip.

No ale přesně takhle se to dělá. IP si dáš samozřejmě do nějaké proměnné, takže při přenosu jinam jenom změníš tu IP na jedno místě.

[pet]

venet0:0 a venet0:1 je jedno rozhraní venet0. Ty vícenásobné zápisy rozlišené pomocí „:n¨ si tam přidává ifconfig, aby se vyrovnal s více IP adresami na jednom rozhraní.

[Petr Šobáň]

ipconfig NEPOUŽÍVAT!

Kolikrát se to má říkat - ipconfig je zastaralý a neumí pracovat s novým jádrem a pak vznikají blbosti obzvláště u virtuálních rozhraní.

Jedno rozhraní může mít normálně víc IP adres a není třeba k tomu ipconfig.

Takže používej ip a ipconfig odinstaluj-nepoužívej.

[Jendа]

ipconfig je na woknech. Mluvíme o ifconfigu.

[Petr Šobáň]

Jasně to bude tím že to už několik let nepoužívám

[ET]

nesouhlas, alespon na centosu prikazem `ip a s` zobrazim vice IP na jedno if, ale ifconfig ukazuje jen tu primarni a nevymysli :0, :1

[Jendа]

Ta vymyšlená rozhraní se objeví jen když více adres nastavuješ s ifconfigem. Když je nastavíš normálně, tak pak ifconfig další adresy vůbec nezobrazí.

[ET]

Ta vymyšlená rozhraní se objeví jen když více adres nastavuješ s ifconfigem

ano, ale musis je manualne nastavit e.g.: ifconfig venet0:1 1.2.3.4

ja jen nesouhlasim s tim, ze by si je tam ifconfig pridaval sam od sebe

Ty vícenásobné zápisy rozlišené pomocí ":n" si tam přidává ifconfig

[Jeason]

openVZ mi udělá tohle v interface:

# Auto generated lo interface auto lo iface lo inet loopback

# Auto generated venet0 interface
auto venet0
iface venet0 inet manual
        up ifconfig venet0 up
        up ifconfig venet0 127.0.0.2
        up route add default dev venet0
        down route del default dev venet0
        down ifconfig venet0 down

auto venet0:0
iface venet0:0 inet static
        address a.b.c.d
        netmask 255.255.255.255

auto venet0:1
iface venet0:1 inet static
        address 192.168.1.81
        netmask 255.255.255.255

[Petr Šobáň]

A proč používáš ifconfig?

Jak ti říkáme je to už nepodporovaný příkaz a nedělá to co má dělat na nových jádrech a proto ti to nefunguje!

Takže si napiš skript který ti nahodí rozhraní normálně přes ip.