Dockerのiptablesを有効にしたままSSRF対策をするには - セキュアスカイプラス
こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日、Dockerコンテナのinbound/outbound通信をiptablesで制限する方法について調べたので、簡単に紹介していきたいと思います。 動機としてはタイトルに書いた通りSSRF対策を目的としています。 特に内部ネットワーク宛の攻撃を想定し、Dockerコンテナからの private network 宛のoutboundを禁止したい。 でもDockerホスト側ではメールGWなど一部内部NW上のサーバへのoutboundは許可する必要があるので、Dockerコンテナだけに限定したoutboundルールを設定したい・・・そんな状況に対応するにはどうするか調べてみた次第です。 結論から書くと Docker Engine 公式ドキュメントで解説されているとおり
netfilterとfirewalldとiptablesとnftablesの関係 - Qiita
はじめに netfilterについて少し調べてみました。 いろいろと認識の相違があったことがわかったので、記録します。 認識の相違 CentOS8（に限らずだけど）では、以下のことがわかった。 iptablesはiptablesではなくnftablesである firewall-cmdで設定したルールはiptablesでは表示されない すべてのルール確認はnftを使う Linuxでのパケットの流れについて netfilterはLinuxでパケットの処理をする基本ルール インタフェイスで受信したパケットがどんな処理をされていくか、というやつです。 netfilter.orgによると、 netfilterは、カーネルモジュールがネットワークスタックにコールバック関数を登録できるようにするLinuxカーネル内の一連のフックです。登録されたコールバック関数は、ネットワークスタック内の各フックを通過す
Dockerでマストドンやってたら、遮断したはずのポートが丸見えだった件 | Divide et impera
みんなマストドンをやっているだろうか？ 僕はやっている。 インスタンス管理をやっている。 こんなふうに運用していた conoHaのVPS CentOS7.3 Dockerで運用している ちなみにDockerは今回が初めて本格的に触った。 マストドンは裏側では3000ポートと4000ポートで待ち受けている。 3000の方は普通のWEB 4000の方はAPIを担当している。 HTTPサーバーであるnginxが、httpの80とhttpsの443で受け取ったら、 それぞれ3000と4000に送りつけている リバースプロキシという技だ。 通常、公開用のhttpとhttpsのポートだけ開けておく。 もちろん僕もそのようにしていた。 CentOS7以降はiptablesではなくfirewalldというファイアウォールのソフトウェアでポートの開け閉めを管理している。 firewalldで、許可するポート
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
