Comments 14
Наконец можно заняться снижением нагрузки на сервер без лишних телождвижений =)
На убунту отличненько работает =)
На убунту отличненько работает =)
а чем плохо использовать iptables внутри контейнеров?
Ну разве что тем, что это чуть менее безопасно: если злоумышленник получит root-привилегии в контейнере, то он сможет повлиять и на firewall тоже. Честно говоря, я по этой причине даже ни разу и не пробовал прописывать iptables внутри контейнера. Поэтому — вопрос: внутри контейнера тоже нужно использовать цепочку FORWARD, или там уже применяется INPUT/OUTPUT, как на хост-машине?
INPUT/OUTPUT
имхо, вообще это велосипед, пусть лучше начинающие админы мануалы читают по iptables, чем городить непонятно что
имхо, вообще это велосипед, пусть лучше начинающие админы мануалы читают по iptables, чем городить непонятно что
Так можно сказать, что Си — это тоже велосипед, потому что есть Ассемблер. Я лишь написал маленький инструмент, упрощающий рутинные операции и экономящий время, а также повышающий мотивацию.
> вопрос: внутри контейнера тоже нужно использовать цепочку FORWARD, или там уже применяется
> INPUT/OUTPUT, как на хост-машине?
внутри почти полноценный iptables.
> если злоумышленник получит root-привилегии в контейнере, то он сможет повлиять и на firewall тоже
да, но только в рамках этого контейнера.
думаю если у него уже будет root, то то, что на фаерволе уровнем выше закрыты порты уже мало чем поможет.
> INPUT/OUTPUT, как на хост-машине?
внутри почти полноценный iptables.
> если злоумышленник получит root-привилегии в контейнере, то он сможет повлиять и на firewall тоже
да, но только в рамках этого контейнера.
думаю если у него уже будет root, то то, что на фаерволе уровнем выше закрыты порты уже мало чем поможет.
Если ограничивать только входящие подключения, то на 90% я с Вами соглашусь. А вот если еще ограничивать и исходящие (чего vzfirewall пока не умеет делать), то — не соглашусь.
Большое спасибо, давно думал над этими вопросами.
Подскажите, а можно ли как нить использовать vzfirewall совместно с veth.
А как именно вы хотели бы ее использовать совместно с veth?
Вообще, vzfirewall работает только с цепочкой FORWARD. Конечно, можно кастомные правила задавать руками (см. выше в статье), но не думаю, что это сильно проще, чем обычный iptables конфигурировать (итерирование по IP-адресам идет на основе *.conf-файла, а не на основе списка ip-адресов из ifconfig).
Вообще, vzfirewall работает только с цепочкой FORWARD. Конечно, можно кастомные правила задавать руками (см. выше в статье), но не думаю, что это сильно проще, чем обычный iptables конфигурировать (итерирование по IP-адресам идет на основе *.conf-файла, а не на основе списка ip-адресов из ifconfig).
Sign up to leave a comment.
dklab vzfirewall: простое управление firewall-ом в OpenVZ