প্রশ্ন Puppet সঙ্গে iptables ব্যবস্থাপনা


আমাদের পরিচালনার ধারণা iptables পুতুল সঙ্গে নিয়ম আনা হয়েছে। আমি ওইটা দেখছি augeas একটি আছে iptables লেন্স কিন্তু এটি বর্তমানে পরীক্ষামূলক।

যে কেউ এই হ্যান্ডেল কিভাবে কোন পরামর্শ আছে? আদর্শভাবে, আমি একটি সার্ভারের ক্লাসের উপর ভিত্তি করে চেইন নির্মাণ করতে চাই।


9
2017-09-22 00:11


উত্স


লিনাক্স কোন গন্ধ? কিছু কিছু ডিফল্ট iptables স্টাফ যা দিয়ে কাজ করার একটি ভাল ধারণা আছে। - freiheit
আমার পরিস্থিতির মধ্যে RHEL। - Belmin Fernandez


উত্তর:


এখানে আমি Red Hat Enterprise (RHEL) এর সাথে যা করছি।

RHEL একটি আছে iptables যে পরিষেবা থেকে লোড লোড /etc/sysconfig/iptables এবং আমি যে ফাইল সংশোধন এবং iptables সেবা পুনরায় আরম্ভ সঙ্গে কাজ করছি। অনেক মানুষ একটি iptables.d ডিরেক্টরি মধ্যে টুকরা ড্রপ এবং একটি iptables (মাধ্যমে তৈরি বা যে মত কিছু) নির্মাণ করতে চান। আমি ডিফল্ট নিয়মতান্ত্রিক পুনর্নির্মাণের জন্য উপাদানগুলি অন্তর্ভুক্ত করি, তবে এটি সাধারণত কিছু না করে। আপনার প্রয়োজনগুলি যদি সহজ হয় তবে আপনি কেবল সিস্টেমের জন্য একটি iptables ফাইল অনুলিপি করতে পারেন।

যদিও মনে হয় কতটা কুৎসিত মনে হচ্ছে, এটি খুব ভালভাবে RHEL4, RHEL5 এবং RHEL6 এ পরীক্ষা করা হয়েছে।

আমি আগে এই ছিল Augeas সমর্থন পুতুল ছিল। যদি আমি আবার এটা লিখতে থাকি তবে আমি আউয়াসাস আইপিটিবেল লেন্সের দিকে নজর দেই exec { "perl ...": }

কিছু গ্লোবাল জায়গায় ফাইল সম্পাদনা করার জন্য সংজ্ঞায়িত

মূলত স্টাফ উপর ভিত্তি করে http://reductivelabs.com/trac/puppet/wiki/SimpleTextRecipes

# Ensure that the line "line" exists in "file":
# Usage: 
# append_if_no_such_line { dummy_modules:
#        file => "/etc/modules",
#        line => dummy 
# }
# 
define append_if_no_such_line($file, $line, $refreshonly = 'false') {
   exec { "/bin/echo '$line' >> '$file'":
      unless => "/bin/grep -Fxqe '$line' '$file'",
      refreshonly => $refreshonly,
   }
}

# Ensure that the line "line" exists in "file":
# Usage: 
# prepend_if_no_such_line { dummy_modules:
#        file => "/etc/modules",
#        line => dummy 
# }
# 
define prepend_if_no_such_line($file, $line, $refreshonly = 'false') {
   $line_no_slashes = slash_escape($line)
   exec { "/usr/bin/perl -p0i -e 's/^/$line_no_slashes\n/;' '$file'":
      unless => "/bin/grep -Fxqe '$line' '$file'",
      refreshonly => $refreshonly,
   }
}

define insert_line_after_if_no_such_line($file, $line, $after) {
    $line_no_slashes = slash_escape($line)
    $after_no_slashes = slash_escape($after)

    exec { "/usr/bin/perl -p0i -e 's/^($after_no_slashes)\$/\$1\n$line_no_slashes/m' '$file'":
        onlyif => "/usr/bin/perl -ne 'BEGIN { \$ret = 0; } \$ret = 1 if /^$line_no_slashes/; END { exit \$ret; }' '$file'",
    }
}

define insert_line_before_if_no_such_line($file, $line, $beforeline) {
    $line_no_slashes = slash_escape($line)
    $before_no_slashes = slash_escape($beforeline)

    exec { "/usr/bin/perl -p0i -e 's/^($before_no_slashes)\$/$line_no_slashes\n\$1/m' '$file'":
        onlyif => "/usr/bin/perl -ne 'BEGIN { \$ret = 0; } \$ret = 1 if /^$line_no_slashes/; END { exit \$ret; }' '$file'",
    }
}

আমার iptables ক্লাস:

class iptables {
   if $lsbmajdistrelease >= '6' {
     $primarychain = 'INPUT'
   } else {
     $primarychain = 'RH-Firewall-1-INPUT'
   }

   package {
      iptables: 
         ensure => installed   # "latest" would be too much
   }

   service { 
     iptables:
        enable    => true,    # default on
        ensure    => running, # start it up if it's stopped
        hasstatus => true,    # since there's no daemon
  }


   file {
     "/etc/sysconfig/iptables":
       ensure => present;
   }

   ##
   # Build up a config if it's missing components we expect; should
   # automatically repair a config if it's broken for really simple reasons
   ##

   # Very first thing: a comment at the top warning about our evil; add even if
   # we're not touching anything else...
   prepend_if_no_such_line { 
      "/etc/sysconfig/iptables comment":
         file => "/etc/sysconfig/iptables",
         line => "# This file partially managed by puppet; attempts to edit will result in magic reappearances"
   }

   # start
   # *filter
   insert_line_after_if_no_such_line {
      "/etc/sysconfig/iptables *filter":
         file    => "/etc/sysconfig/iptables",
         line    => "\\*filter",
         after   => "#.*",
         notify => Service[iptables],
   }

   # first default chain
   # :INPUT ACCEPT [0:0]
   insert_line_after_if_no_such_line {
      "/etc/sysconfig/iptables:INPUT":
         file   => "/etc/sysconfig/iptables",
         line   => ":INPUT ACCEPT \\[0:0\\]",
         after  => "\\*filter",
         notify => Service[iptables],
   }

   # second default chain
   # :FORWARD ACCEPT [0:0]
   insert_line_after_if_no_such_line {
      "/etc/sysconfig/iptables:FORWARD":
         file   => "/etc/sysconfig/iptables",
         line   => ":FORWARD ACCEPT \\[0:0\\]",
         after  => ":INPUT ACCEPT \\[\\d+:\\d+\\]",
         notify => Service[iptables],
   }


   # third default chain
   # :OUTPUT ACCEPT [0:0]
   insert_line_after_if_no_such_line {
      "/etc/sysconfig/iptables:OUTPUT":
         file   => "/etc/sysconfig/iptables",
         line   => ":OUTPUT ACCEPT \\[0:0\\]",
         after  => ":FORWARD ACCEPT \\[\\d+:\\d+\\]",
         notify => Service[iptables],
   }

   if $lsbmajdistrelease <= 5 {

      # Finally, the RH special chain
      # :RH-Firewall-1-INPUT - [0:0]
      insert_line_after_if_no_such_line {
         "/etc/sysconfig/iptables:RH-Firewall-1-INPUT":
            file   => "/etc/sysconfig/iptables",
            line   => ":RH-Firewall-1-INPUT - \\[0:0\\]",
            after  => ":OUTPUT ACCEPT \\[\\d+:\\d+\\]",
            notify => Service[iptables],
      }

      # redirect INPUT to RH chain
      # -A INPUT -j RH-Firewall-1-INPUT
      insert_line_after_if_no_such_line {
         "/etc/sysconfig/iptables:INPUT:RH-Firewall-1-INPUT":
            file   => "/etc/sysconfig/iptables",
            line   => "-A INPUT -j RH-Firewall-1-INPUT",
            after  => ":RH-Firewall-1-INPUT - \\[\\d+:\\d+\\]",
            notify => Service[iptables],
      }

      # redirect FORWARD to RH chain
      # -A FORWARD -j RH-Firewall-1-INPUT
      insert_line_after_if_no_such_line { 
         "/etc/sysconfig/iptables:FORWARD:RH-Firewall-1-INPUT":
            file   => "/etc/sysconfig/iptables",
            line   => "-A FORWARD -j RH-Firewall-1-INPUT",
            after  => "-A INPUT -j RH-Firewall-1-INPUT",
            notify => Service[iptables],
      }

   }

   # Let anything on localhost work...
   # -A $primarychain -i lo -j ACCEPT
   insert_line_after_if_no_such_line {
      "/etc/sysconfig/iptables:$primarychain lo":
         file    => "/etc/sysconfig/iptables",
         line   => "-A $primarychain -i lo -j ACCEPT",
         after  => "-A FORWARD -j $primarychain",
         notify => Service[iptables],
   }

   # And let through all the ICMP stuff:
   # -A $primarychain -p icmp --icmp-type any -j ACCEPT
   if $lsbmajdistrelease >= '6' {
     insert_line_after_if_no_such_line {
        "/etc/sysconfig/iptables:$primarychain icmp":
           file   => "/etc/sysconfig/iptables",
           line   => "-A $primarychain -p icmp -j ACCEPT",
           after  => "-A $primarychain -i lo -j ACCEPT",
           notify => Service[iptables],
     }
   } else {
     insert_line_after_if_no_such_line {
        "/etc/sysconfig/iptables:$primarychain icmp":
           file   => "/etc/sysconfig/iptables",
           line   => "-A $primarychain -p icmp --icmp-type any -j ACCEPT",
           after  => "-A $primarychain -i lo -j ACCEPT",
           notify => Service[iptables],
     }
   }

   # Finally, let anything that's part of an exisiting connection through:
   # -A $primarychain -m state --state ESTABLISHED,RELATED -j ACCEPT
   insert_line_after_if_no_such_line {
      "/etc/sysconfig/iptables:ESTABLISHED":
         file   => "/etc/sysconfig/iptables",
         line   => "-A $primarychain -m state --state ESTABLISHED,RELATED -j ACCEPT",
         after  => "-A $primarychain -p icmp --icmp-type any -j ACCEPT",
         notify => Service[iptables],
   }

   # Very last thing:
   # COMMIT
   append_if_no_such_line {
      "/etc/sysconfig/iptables:COMMIT":
         file   => "/etc/sysconfig/iptables",
         line   => "COMMIT",
         notify => Service[iptables],
   }

   # Next to last thing: reject!
   # -A $primarychain -j REJECT --reject-with icmp-host-prohibited
   insert_line_before_if_no_such_line {
      "/etc/sysconfig/iptables:final reject":
         file       => "/etc/sysconfig/iptables",
         line       => "-A $primarychain -j REJECT --reject-with icmp-host-prohibited",
         beforeline => "COMMIT",
         notify     => Service[iptables],
   }
}

# example:
# iptable_rule { "iptable:ssh":
#   rule => "-m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT"
# }
# change your mind about a rule, do this:
# iptable_rule { "iptable:ssh":
#   rule   => "-m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT",
#   ensure => "absent",
# }
define iptable_rule($rule, $ensure = 'present') {
   if $lsbmajdistrelease >= '6' {
     $primarychain = 'INPUT'
   } else {
     $primarychain = 'RH-Firewall-1-INPUT'
   }
   $iptablesline = "-A $primarychain $rule"
   case $ensure {
      default: { err ( "unknown ensure value $ensure" ) }
      present: {
         insert_line_before_if_no_such_line {
            "/etc/sysconfig/iptables:add $rule":
               file       => "/etc/sysconfig/iptables",
               line       => $iptablesline,
               beforeline => "-A $primarychain -j REJECT --reject-with icmp-host-prohibited",
               notify     => Service[iptables],
         }
      }
      absent: {
         delete_lines {
            "/etc/sysconfig/iptables:remove $rule":
               file    => "/etc/sysconfig/iptables",
               pattern => $iptablesline,
               notify  => Service[iptables],
         }
      }
   }
}

# Example:
# iptable_tcp_port { "iptable:ssh":
#    port => "22",
# }
# Example:
# iptable_tcp_port { "iptable:oracle:130.157.5.0/24":
#    port    => "1521",
#    source => "130.157.5.0/24",
# }
# (add ensure => "absent" to remove)
define iptable_tcp_port($port, $ensure = 'present', $source = 'ANY') {
   case $source {
      "ANY": {
         iptable_rule {
            "iptable_tcp_port:$port":
               rule   => "-m state --state NEW -m tcp -p tcp --dport $port -j ACCEPT",
               ensure => $ensure,
         }
      }
      default: {
         iptable_rule {
            "iptable_tcp_port:$port:$source":
               rule   => "-m state --state NEW -m tcp -p tcp --source $source --dport $port -j ACCEPT",
               ensure => $ensure,
         }
      }
   }
}

# Example:
# iptable_udp_port { "iptable:ntp":
#    port => "123",
# }
# (again, ensure => "absent" if needed)
define iptable_udp_port($port, $ensure = 'present', $source = 'ANY') {
   case $source {
      "ANY": {
         iptable_rule {
            "iptable_udp_port:$port":
               rule   => "-p udp -m udp --dport $port -j ACCEPT",
               ensure => $ensure,
         }
      }
      default: {
         iptable_rule {
            "iptable_udp_port:$port":
               rule   => "-p udp -m udp --source $source --dport $port -j ACCEPT",
               ensure => $ensure,
         }
      }
   }
}

অন্যান্য ক্লাসে ব্যবহারের কিছু উদাহরণ:

class ssh {
  include iptables
  iptable_tcp_port {
    "iptables:ssh":
      port   => "22",
      ensure => "present"
   }
}
class ssh_restricted inherits ssh {
  Iptable_tcp_port["iptables:ssh"]{ensure => "absent"}
  iptable_tcp_port {
    "ssh:RESTRICTED":
      port   => "22",
      source => "X.Y.0.0/16", 
      ensure => "present";
   }
}

class apache {
  iptable_tcp_port {
    "iptables:http":
      require => Service["httpd"],
      port => "80";
  }
}

class apache::secure {
  iptable_tcp_port {
    "iptables:https":
      require => Service["httpd"],
      port => "443";
  }
}

class snmp {
  iptable_udp_port { "iptables:snmp": port => "161" }
}

6
2017-09-22 20:25





Puppet Labs তাদের উইকিতে সঠিক উদাহরণ রয়েছে: মডিউল Iptables প্যাটার্নস

সংক্ষেপে: আপনি প্রতিটি পরিষেবাদির জন্য টুকরা তৈরি করেন এবং তারপর ipt_fragment সংজ্ঞায়িত-প্রকারের invoking দ্বারা তাদের ইনস্টল করুন:

ipt_fragment {"filter-ftp": নিশ্চিত করুন => উপস্থিত}

যখন একটি ফাটল ইনস্টল করা হয় (তারা /etc/iptables.d/ হয়), এটি একটি স্ক্রিপ্টের সঞ্চালনকে ট্রিগার করে যা সমস্ত টুকরা সংহত করে এবং iptables পুনঃসূচনা করে।


6
2017-09-22 05:47





প্রশ্ন হচ্ছে, আপনি কি সম্পাদন করতে চান?

Puppet এ iptables স্থাপন করা সহজ: স্ক্রিপ্টটি পুতুল সার্ভারে রাখুন এবং যেখানেই আপনার দরকার সেখানে সেটি সরবরাহ করুন। এটি কিছু কাস্টমাইজেশন প্রয়োজন হলে, এটি একটি টেমপ্লেট তৈরি করুন।

এখন, সম্ভবত আপনি এমন কিছু চান যা "হোস্ট এক্স এর ওয়েব সার্ভার থাকে তবে পোর্টগুলি 80 এবং 443 এ খুলতে হবে"। এই ক্ষেত্রে, আমি আপনাকে যা করতে বলছি তা ব্যবহার করে স্ক্রিপ্টটি একাধিক ফাইল অংশ থেকে রচনা করতে হয় সাধারণ মডিউল এর concatenated_file অথবা concatfilepart (আমি পরেরটিকে পছন্দ করি, যা ক্রমান্বয়ে সক্ষম হয়, তবে এটি সমস্ত ফর্কগুলিতে উপলব্ধ নয় - আমি আপনাকে ক্যাম্পটোক্যাম্পের দিকে নির্দেশ করছি, যা এটি আছে)।

এই ফাইল অংশ সহজে টেমপ্লেট ব্যবহার করে লেখা যেতে পারে। কৌতুক আপনি যে রপ্তানি দ্য concatfilepart উপরে Apache ক্লাস (সম্ভবত একটি প্রস্তুতি যে একটি সংজ্ঞায়িত কল করে concatfilepart আইপি ঠিকানা এবং পোর্ট হিসাবে পরামিতি উপর ভিত্তি করে), এবং উপর iptables ক্লাস আপনি সব এক্সপোর্ট বুঝতে হবে concatfilepart সঙ্গে Tagged iptables অথবা যে মত কিছু।

যদি আপনি এটি করেন, আমি Github যে মডিউল দেখতে চাই। আমি একটি iptables মডিউল লিখতে না। :-)


4
2017-09-22 03:00