Cookies helfen uns bei der Bereitstellung des IMT HilfeWikis. Bei der Nutzung vom IMT HilfeWiki werden die in der Datenschutzerklärung beschriebenen Cookies gespeichert.Weitere Informationen

Umgang mit nftables

IMT HilfeWiki - das Wiki
Wechseln zu:Navigation, Suche
Anleitung
Linux Linux
Informationen
Betriebssystem Linux
Service Housing und Hosting
Interessant für Angestellte und Studierende
Linux Portalseite
no displaytitle found: Umgang mit nftables
For other articles about this topic, see Hosting - OS

Auf Servern im Hostingmodell OS setzt das IMT auf eine lokale Firewall auf dem Server, die mittels nftables realisiert wird. In dieser Anleitung werden konkrete Beispiele gegeben, um die Firewall wie gewünscht zu manipulieren.

nftables

Einen kurzen Überblick gibt es hier: https://wiki.nftables.org/wiki-nftables/index.php/Quick_reference-nftables_in_10_minutes

Struktur der IMT Regeln

Wir legen für ipv6 und ipv4 verschiedene Tabellen in nftables an. Diese heissen ip und ip6. Im Normalfall sind für Kunden folgende Zeilen relevant:

        chain custom_rules {
                tcp dport { mysql, 9200, 9300, 27017-27019 } jump log-reject comment "No remote access to mysql, mongodb, elasticsearch"
                tcp dport ssh counter  jump ssh comment "jump to ssh chain once"
                tcp dport ssh counter jump admin_access comment "jump to ssh chain once"
                tcp dport ssh counter jump log-reject comment "Drop everything ssh that was not allowed yet"
                counter  accept comment "Hosted Server accepts everything that is not explicitly filtered"
        }

Somit wird automatisch der komplette Zugriff auf den Host freigegeben, der nicht in den Ports (22,3306,9200,9300,27017-27019) liegt. Wollen Sie den Zugriff weiter einschränken, können Sie das über eine Datei in /etc/nftables.d realisieren. Es liegt bereits eine Beispieldatei im Ordner, an der Sie sich orientieren können.

SSH Zugriff

Obwohl Sie ohne Probleme auch den SSH-Zugriff selber anlegen könnten, wäre es ratsam, diesen mit dem IMT abzustimmen, da in der Regel die Datacenter Firewall keinen SSH Zugriff von überall erlaubt, sondern nur von speziellen Jump-Hosts.

Docker

Falls Sie Docker auf Ihrem Server einsetzen wollen, dann sagen Sie uns bitte bescheid (Optionale Pakete), damit wir docker korrekt konfigurieren können. Sonst kann es dazu führen, dass eine Änderung an den Regeln Anwendungen, die in docker Containern laufen, unerreichbar macht.

Externe Firewalls

Bitte beachten Sie, dass ihr Server hinter weiteren Firewalls steht. Nur weil ein Port auf dem Server geöffnet wurde, heißt nicht, dass dieser automatisch aus dem Internet erreichbar ist. Bitte besprechen Sie das weitere Vorgehen mit dem IMT.

Siehe auch

Hosting - OS


Bei Fragen oder Problemen wenden Sie sich bitte telefonisch oder per E-Mail an uns:

Tel. IT: +49 (5251) 60-5544 Tel. Medien: +49 (5251) 60-2821 E-Mail: imt@uni-paderborn.de

Der Servicepoint ist aktuell im Notebook-Café zu finden

Das IMT:Notebook-Café (Raum I0.401) bietet in der vorlesungsfreien Zeit nur eingeschränkten Support und hat von Montag bis Donnerstag von 10:00 - 14:00 Uhr für Sie geöffnet geöffnet. Telefon- und E-Mailsupport erfolgt Montag bis Donnerstag von 8:30 Uhr bis 16 Uhr und Freitag von 8:30 Uhr bis 14 Uhr.


Das IMT:Servicecenter Medien auf H1 hat aktuell von Montag bis Donnerstag von 9:00 - 15:00 Uhr und am Freitag von 9:00 - 13:00 Uhr geöffnet.