Перейти к содержанию

iptables и безопасный доступ к НАЙС.ОС CLOUD

Штатный инструмент межсетевого экрана НАЙС.ОС — iptables/ip6tables. В руководствах этого портала не используются firewalld или отдельное управление nftables. Даже если команда iptables -V покажет backend (nf_tables), интерфейс управления остаётся iptables.

Сначала сохраните доступ

Не очищайте таблицы (iptables -F, iptables -X) и не изменяйте политики по умолчанию на удалённой машине без резервной консоли, снимка текущих правил и согласованного плана отката. Правила могут содержать цепочки Docker, влияющие на опубликованные приложения.

Как устроен firewall

В ядре Linux фильтрация пакетов выполняется Netfilter. iptables — пользовательский инструмент настройки этих правил. Важнейшие цепочки таблицы filter:

Цепочка Что контролирует Пример
INPUT входящие пакеты к самому серверу SSH к серверу
OUTPUT исходящие пакеты от процессов сервера DNS, обновления, HTTPS
FORWARD пакеты, пересылаемые через сервер маршрутизация между интерфейсами, контейнерные сети

В минимальном профиле НАЙС.ОС опубликована концепция DROP по умолчанию для INPUT, OUTPUT и FORWARD с явно разрешённым необходимым трафиком. Конкретный набор активных правил надо проверять командой iptables -S, а не считать одинаковым для каждого ISO.

Проверка состояния без изменений

sudo iptables -V
sudo iptables -S
sudo iptables -L -n -v --line-numbers
sudo ip6tables -S
sudo iptables -t nat -S
systemctl status iptables --no-pager
  • iptables -S показывает команды задания правил, включая политики.
  • iptables -L -n -v показывает цепочки, счётчики пакетов/байтов и порядок.
  • iptables -t nat -S нужен для NAT/контейнеров, но не заменяет просмотр filter.
  • ip6tables -S проверяет IPv6 отдельно. IPv4 и IPv6 требуют собственных решений по доступу.

В пакетном рецепте НАЙС.ОС обнаружены файлы /etc/systemd/scripts/iptables, /etc/systemd/scripts/iptables.stop, /etc/systemd/scripts/ip4save, /etc/systemd/scripts/ip6save, а также iptables.service. Исходный код этих файлов не передан, поэтому конкретная команда постоянного сохранения правил пока не подтверждена. Не используйте универсальные советы из других дистрибутивов без проверки пакета.

Безопасное открытие порта

Пример ограниченного доступа TCP/8443 к самому серверу от одного адреса — отдельная инструкция. Для назначения постоянного доступа обязательно проверьте сохранение после перезагрузки и взаимодействие с Docker.

Что читать далее

Быстрая проверка SSH

systemctl is-active sshd
ss -lntp
sudo sshd -t
sudo sshd -T | grep -E '^(port|permitrootlogin|passwordauthentication|pubkeyauthentication)'
sudo iptables -L INPUT -n -v --line-numbers

Служба SSH может работать нормально, а TCP-пакеты до неё не доходят из-за политики INPUT. И наоборот: разрешённый порт не поможет, если sshd не слушает нужный адрес или интерфейс.