iptables添加openstack平台加固VNC访问安全

admin

1、首次命令行新建iptables步骤
/ U: d$ L' Q" i) aiptables -F #清除规则
2 G- M$ b/ H* fiptables -X #删除自定义链
2 n3 K- H# A, o: @3 y% Ciptables -Z #清空计数
iptables -A INPUT -p tcp --dport 22 -j ACCEPT #开放22端访问
iptables -A INPUT -i lo ACCEPT #信任回环端口
6 ]8 g5 |- C4 d7 Jiptables -A OUTPUT -o lo -j ACCEPT
' s/ t3 C4 b: |' Riptables -P INPUT DROP #设置INPUT链的默认规则为DROP
iptables -P OUTPUT ACCEPT #设置OUTPUT链的默认规则为DROP
$ h0 ^" y* A! P$ }$ `# e, Z' miptables -P FORWARD DROP #设置FORWARD链的默认规则为DROP
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT #允许PING包
####开放信任网段
iptables -A INPUT -s 192.168.1.100,192.168.2.0/24,192.168.3.0/24 -p all -j ACCEPT
* s& C) j$ ?6 Xiptables -A INPUT -p tcp --dport 5900:5910 -j ACCEPT
####开启对外服务端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dport 80,8080,443 -j ACCEPT
* f, q2 n0 H' l. I####允许关联的包通过
% y% B7 d2 d; Q! c0 X: Giptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
( w0 N7 t: ^* U# o" Jiptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
; I6 h0 T) f$ x* X' c
1 ~7 i: \! K$ C9 M6 ?9 R6 z8 t2、查看当前运行状态的iptables的规则
iptables-save
3、查看默认iptables配置配置文件的规则
7 W: F( ?4 r% `: zcat /etc/sysconfig/iptables
4、保存iptables配置
3 x: [6 b* h' O9 @4 B2 d3 riptables-save > /etc/sysconfig/iptables
2 c* h7 V, h/ `. h8 |2 Z( E/etc/init.d/iptables save
5、重新执行iptables配置文件
& v% f0 \& W, J; r1 Y  ?/etc/init.d/iptables reload
* k1 o8 ?  o% \) D" ?  b6 Biptables-restore /etc/sysconfig/iptables
. a( a# O6 ]( l+ ^1 ~6、启停防火墙
, \$ j, H9 e0 H. ?5 X/etc/init.d/iptables start
/etc/init.d/iptables stop
7、查看详细的规则配置
  P/ N, ^9 k3 v, _+ M: c1 u[root@centos6 sysconfig]# iptables -nvL --line
1 W  `3 n, b: w* Z/ o, xChain INPUT (policy DROP 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- lo 0.0.0.0/0 0.0.0.0/0
) b5 P/ k$ @" S2 0 0 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8
3 247 20668 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
4 411 49930 ACCEPT all -- 10.8.26.0/24 0.0.0.0/0
5 0 0 ACCEPT all -- 10.8.201.0/24 0.0.0.0/0
0 t. x" O; F& K- w5 }/ d6 0 0 ACCEPT all -- 10.9.1.1 0.0.0.0/0
7 0 0 ACCEPT tcp -- 10.8.26.0/24 0.0.0.0/0 multiport dports 6888,11034
4 l# W9 y( x# ]6 `1 A; j( ]: Z8 0 0 ACCEPT tcp -- 10.8.201.0/24 0.0.0.0/0 multiport dports 6888,11034
8 y- M4 U( {& a9 0 0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
, n- y; K3 D$ t' d/ A10 0 0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:5900:5910
0 i6 F; {; B$ w11 0 0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 multiport dports 8080,443
12 0 0 ACCEPT all -- * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

Chain FORWARD (policy DROP 0 packets, 0 bytes)
/ [3 z  ~1 u7 N3 ], b* s1 Gnum pkts bytes target prot opt in out source destination

. u5 e. s" h4 d& V' ^- r' ]Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- lo 0.0.0.0/0 0.0.0.0/0
2 172 17712 ACCEPT all -- * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED

8、基本配置文件示例
' Q9 d- R3 }6 i4 P2 T[root@centos6 sysconfig]# cat /etc/sysconfig/iptables
; O9 I  P; X/ f% V" K; r& a6 ~# a) `# Generated by iptables-save v1.4.7 on Fri Jan 19 03:14:49 2018
7 k8 x/ M/ k; b2 N4 k*filter
:INPUT DROP [0:0]
1 c9 C- A4 Q: Q" {$ Q5 f. A" B4 v:FORWARD DROP [0:0]
( ^6 Z/ t5 Q4 i4 [* a& Z9 t: V: Q4 g& o:OUTPUT ACCEPT [0:0]
####Trust loopback interface and Ping
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A INPUT -p icmp --icmp-type 8 -j ACCEPT
4 k* g/ _6 s/ [2 X# Y0 ~5 O####Trust Network
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 10.8.26.0/24 -j ACCEPT
-A INPUT -s 10.8.201.0/24 -j ACCEPT
-A INPUT -s 10.9.1.1/32 -j ACCEPT
-A INPUT -s 10.8.26.0/24,10.8.201.0/24 -p tcp -m multiport --dport 6888,11034 -j ACCEPT
" }; \! ~% X' v# q  D####Open Port
+ F" O. |7 m& R. x* j. S-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
1 B$ e+ c6 F% O' C! _. |8 V-A INPUT -p tcp -m tcp --dport 5900:5910 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 8080,443 -j ACCEPT
; a6 ^' j! k; w$ R% q####Relate Packets
" O+ c! ~) z% n7 \% w-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
5 u, m2 j9 S1 G& d4 H$ a9 g$ x# Completed on Fri Jan 19 03:14:49 2018

admin

在此实例获得了 nova-network 主机上的一个浮动 IP 后，这些规则适用： 

-A nova-network-OUTPUT -d 192.168.1.233/32 -j DNAT --to-destination 10.10.10.2
2 \% @. L9 M0 r4 r5 f
" l6 p- z" C; s1 ~" l+ t' s-A nova-network-PREROUTING -d 192.168.1.233/32 -j DNAT --to-destination 10.10.10.2
/ l# M, K. V. {( k* g& N! @# _% s
& I6 z4 E& Q% {; k8 y-A nova-network-float-snat -s 10.10.10.2/32 -j SNAT --to-source 192.168.1.233 
9 B- g, D$ y' A8 D* b
您会看到该 dNAT 规则被用来将此浮动 IP 转换成此实例的固定 IP。如果一个包到达 nova-network 主机并以浮动 IP 为目标 IP，则此目标 IP 就会被转换。然后，就会有另一项 sNAT 规则会将来自此实例的固定 IP 的流量转换到此浮动 IP。由于所有从 VM 到固定网络之外的流量均被指向网关（是由 nova-network 的 dnsmasq 进行设置），有了 sNAT 规则，出 VM 的流量就可以成功标志成来自此浮动 IP。此外，已包装的 OUTPUT 链内还有一个 dNAT 规则，允许 nova-network 上的本地过程访问具有浮动 IP 的 VM。 
$ D* W5 y1 h, r7 M' v6 f
使用浮动 IP 的 Ping VM：
  p3 y+ N, L0 _3 ?3 R
要将 VM 与浮动 IP Ping 在一起，也需要一些规则。请记住，在此 nova-compute 主机上，针对每个实例必须有一个特定链；其内的规则只允许来自固定子集内的 IP 的流量。如果想要 ping 一个浮动 IP，流量就会被这些规则丢弃，因为 ping 包的源 IP 并不在此固定子集内。显然，需要一个规则以允许 icmp 流量。 为了添加一个允许 ping 的规则，可以使用Ag的安全组规则的概念：
) T* h6 m. a, M0 q6 `$ b
# nova secgroup-add-rule default icmp -1 -1 0.0.0.0/0 之后，就可以看到在此实例的特定链下多创建了一个规则：

-A nova-compute-inst-1 -p icmp -j ACCEPT 

3 x6 i8 f5 I1 f: O7 l. N; C1 v. K2 f同样的方式，可以对具有浮动 IP 的 VM 启用 SSH。 

admin

一、首次命令行新建iptables步骤
. h- I) X, ~* s* M" f, g- Viptables -F #清除规则
iptables -X #删除自定义链
+ h# t. \+ d  @/ h7 \( B' Wiptables -Z #清空计数
8 V: J( J! s- x1 C* viptables -A INPUT -p tcp --dport 22 -j ACCEPT #开放22端访问
iptables -A INPUT -i lo ACCEPT #信任回环端口
iptables -A OUTPUT -o lo -j ACCEPT
) e) f- w2 F1 n8 {  piptables -P INPUT DROP #设置INPUT链的默认规则为DROP
iptables -P OUTPUT ACCEPT #设置OUTPUT链的默认规则为DROP
iptables -P FORWARD DROP #设置FORWARD链的默认规则为DROP
. ]$ V- G+ p( v1 }8 Giptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT #容许PING包
####开放信任网段
iptables -A INPUT -s 192.168.1.100,192.168.2.0/24,192.168.3.0/24 -p all -j ACCEPT
iptables -A INPUT -p tcp --dport 5900:5910 -j ACCEPT
" {, w' x3 T  O% B6 ]9 c+ ^####开启对外服务端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
+ y3 n$ ^5 }7 U& W  c/ Fiptables -A INPUT -p tcp -m multiport --dport 80,8080,443 -j ACCEPT
####容许关联的包经过
( f0 m/ U& v. T3 }2 I+ p% J- jiptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPTcentos

. d7 a1 n3 ?! P$ S二、查看当前运行状态的iptables的规则
iptables-save
- h' U+ T. K9 ]% R% @3 f, L7 b三、查看默认iptables配置配置文件的规则
0 ~- L- }. G8 y2 T' `7 o" gcat /etc/sysconfig/iptables
四、保存iptables配置
iptables-save > /etc/sysconfig/iptables
/etc/init.d/iptables save
五、从新执行iptables配置文件
+ O: Z7 S1 n' `3 a& e/etc/init.d/iptables reload
iptables-restore /etc/sysconfig/iptables
六、启停防火墙
/etc/init.d/iptables start
$ N2 A! m! Z0 E( q/etc/init.d/iptables stop
5 S5 u: N! ^# t7 H% E" d0 T七、查看详细的规则配置
0 Z6 \0 N8 z& q2 y8 G% w/ M[root@centos6 sysconfig]# iptables -nvL --line
: |. r/ ?. I" g9 x* y- z" j9 ZChain INPUT (policy DROP 0 packets, 0 bytes)
' X6 A3 @6 P4 Z* Xnum pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- lo 0.0.0.0/0 0.0.0.0/0
4 S+ e2 w& i  M& L, v7 x2 0 0 ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8
- t+ S8 W) H$ S" ?" q+ X5 v3 247 20668 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
4 411 49930 ACCEPT all -- 10.8.26.0/24 0.0.0.0/0
5 0 0 ACCEPT all -- 10.8.201.0/24 0.0.0.0/0
& j. N' j/ ~$ |# Z9 u8 K4 I6 0 0 ACCEPT all -- 10.9.1.1 0.0.0.0/0
' y9 U% g$ P7 b  T9 w* R% n7 0 0 ACCEPT tcp -- 10.8.26.0/24 0.0.0.0/0 multiport dports 6888,11034
( R# H- r  k9 T8 g5 n8 ^& g& [8 0 0 ACCEPT tcp -- 10.8.201.0/24 0.0.0.0/0 multiport dports 6888,11034
9 0 0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
10 0 0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:5900:5910
11 0 0 ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 multiport dports 8080,443
' V/ v8 `- L2 _- b# p2 u12 0 0 ACCEPT all -- * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHEDtcp
: N% J- n7 T1 |: q* M
, J. j& {: [" L! v1 bChain FORWARD (policy DROP 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destinationide
/ c. c7 T. }% z3 n
3 b6 R5 ~' j" l9 ZChain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT all -- lo 0.0.0.0/0 0.0.0.0/0
2 172 17712 ACCEPT all -- * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHEDoop

八、基本配置文件示例
[root@centos6 sysconfig]# cat /etc/sysconfig/iptables
# Generated by iptables-save v1.4.7 on Fri Jan 19 03:14:49 2018
*filter
. e5 u# D- p, N3 j:INPUT DROP [0:0]
# U2 W* L  o* Z8 J) i:FORWARD DROP [0:0]
9 L7 B1 R4 M$ \9 z3 J+ {:OUTPUT ACCEPT [0:0]
####Trust loopback interface and Ping
& `2 z6 V# v! G: t! |) q- S* g-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A INPUT -p icmp --icmp-type 8 -j ACCEPT
####Trust Network
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -s 10.8.26.0/24 -j ACCEPT
-A INPUT -s 10.8.201.0/24 -j ACCEPT
. v" J5 T1 a- d-A INPUT -s 10.9.1.1/32 -j ACCEPT
-A INPUT -s 10.8.26.0/24,10.8.201.0/24 -p tcp -m multiport --dport 6888,11034 -j ACCEPT
& j8 f& `0 b; E! Q) J####Open Port
& g) [- d' T& v+ B8 q-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5900:5910 -j ACCEPT
-A INPUT -p tcp -m multiport --dports 8080,443 -j ACCEPT
####Relate Packets
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
5 s  r' G7 X# z* g, f-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
( ]6 j" U/ x/ g4 sCOMMIT
) l! q. O( m- s, ~: p1 k# Completed on Fri Jan 19 03:14:49 2018命令行

admin

通过在计算节点加iptables规则block所以对计算节点进行vnc请求的流量，但放开novnc过来的访问流量。
) w$ E2 \" X6 \( Biptables -A INPUT -p tcp ! -s 10.5.0.67 --sport 6080 -m multiport --dports 5900:5999 -j DROP
+ j/ S" `! N4 I# ]如果有多个novnc-proxy节点可以：
sudo iptables -A INPUT -p tcp -s 10.5.0.81 -m multiport --dports 5900:5999 -j ACCEPT
sudo iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j DROP
或者使用ipset,
sudo ipset create good_ips iphash
sudo ipset add good_ips 172.24.0.93
sudo ipset add good_ips 172.24.0.193
% u2 K0 d) U; ^. [sudo iptables -A INPUT -m set ! --match-set good_ips src -j DROP

7 W! y# B; ~; y  H2 j4 [当horizon和nova-novnc-proxy不在同一个机器上时，应试在nova-novnc-proxy上有“sudo iptables -I INPUT -m state --state NEW -s 172.24.0.93,172.24.0.193 -m tcp -p tcp --dport 6080 -j ACCEPT”确保它接收从horizon传过来的流量，当然在openstack中默认就是打开的。
5 M" _& Y1 \  q. ]; q4 j5 |