Dockerのiptablesを有効にしたままSSRF対策をするには - セキュアスカイプラス
こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 先日、Dockerコンテナのinbound/outbound通信をiptablesで制限する方法について調べたので、簡単に紹介していきたいと思います。 動機としてはタイトルに書いた通りSSRF対策を目的としています。 特に内部ネットワーク宛の攻撃を想定し、Dockerコンテナからの private network 宛のoutboundを禁止したい。 でもDockerホスト側ではメールGWなど一部内部NW上のサーバへのoutboundは許可する必要があるので、Dockerコンテナだけに限定したoutboundルールを設定したい・・・そんな状況に対応するにはどうするか調べてみた次第です。 結論から書くと Docker Engine 公式ドキュメントで解説されているとおり
netfilterとfirewalldとiptablesとnftablesの関係 - Qiita
はじめに netfilterについて少し調べてみました。 いろいろと認識の相違があったことがわかったので、記録します。 認識の相違 CentOS8（に限らずだけど）では、以下のことがわかった。 iptablesはiptablesではなくnftablesである firewall-cmdで設定したルールはiptablesでは表示されない すべてのルール確認はnftを使う Linuxでのパケットの流れについて netfilterはLinuxでパケットの処理をする基本ルール インタフェイスで受信したパケットがどんな処理をされていくか、というやつです。 netfilter.orgによると、 netfilterは、カーネルモジュールがネットワークスタックにコールバック関数を登録できるようにするLinuxカーネル内の一連のフックです。登録されたコールバック関数は、ネットワークスタック内の各フックを通過す
iptablesテンプレート集 改訂版
この連載では、初心者にとってハードルの高いiptablesの設定を、テンプレートを用いながら紹介していきます。「習うより慣れよ！」の精神でまず試してみてはいかがでしょう。（編集部）
Linuxにおける新たなパケットフィルタリングツール「nftables」入門 | さくらのナレッジ
たとえば、かつてiptablesで設定していたIPv4に関連するパケットフィルタリング設定は、nftablesにおいては「ip」というアドレスファミリに紐付けたテーブルを作成することで設定できる。同様に、ip6tablesやarptables、ebtablesで設定していたものはそれぞれ「ip6」や「arp」、「bridge」というアドレスファミリに紐付けたテーブルで設定する。 「inet」「および「netdev」アドレスファミリはnftablesで新たに導入されたもので、まず「inet」はIPv4およびIPv6の両方を対象にした設定を行えるアドレスファミリだ。従来IPv4とIPv6の両方にまたがったフィルタリングルールを設定したい場合はiptablesとip6tablesの両方で同じようなルールを追加する必要があったが、nftablesではinetアドレスファミリで指定することで単一の設
dockerのexpose のポートをlocalhostに限定する。 - それマグで！
docker のポートのIPアドレスを限定したい。 expose したポートを、bind するときに、よく見る例がコレ docker run -p 80:80 ... コレだと、0.0.0.0:80 にマッピングされる。グローバルアドレスにマッピングしてしまうのですよね。ちょっと先行き不安。 ローカル・ループバックに限定する docker run -p 127.0.0.1:80:80 ... IPv6の ループバックはダメみたい ::1 はダメだった。悲しい。そのうちなんとかなるかも。 takuya@ubuntu01:~/docker-test$ docker-compose up -d ERROR: The Compose file './docker-compose.yml' is invalid because: services.db.ports is invalid: Inval
Docker の iptables 設定
Docker のネットワークまわりの理解を深める一環として iptables について整理します。 全体として Iptables Tutorial がとても参考になりました。 iptables とは iptables の構成要素 Docker デーモン起動時の iptables Docker コンテナ起動時の iptables 環境: # OS $ cat /proc/version Linux version 4.14.13-1-ARCH (builduser@heftig-32336) (gcc version 7.2.1 20171224 (GCC)) #1 SMP PREEMPT Wed Jan 10 11:14:50 UTC 2018 # iptables $ iptables --version iptables v1.6.1 # Docker $ docker version
ubuntu ファイアーウォール ：Docker が UFW 管理外のポートを開けてしまう問題 - ngzmのブログ
UFW とは ファイアーウォールを設定・管理するツールで、Ubuntuでは標準的に利用します。このツールを使用すれば、iptables を使うよりはるかに簡単にファイアーウォールを構築できます。 UFW - Community Help Wiki Docker はご存知ですね。 Docker - Build, Ship, and Run Any App, Anywhere 遭遇した問題 今回 UFW と docker の両方を使用するサーバで、UFW で許可していないポート番号がいつのまにか空いてしまった問題に遭遇しました。 次のような感じです。 ubuntu xenial サーバに対し、UFW で 22番と443番だけアクセス可能、その他は遮断というファイアーウォールをセットアップ 同サーバに Docker 入れて、nginx コンテナ起動、この時 “-p 80:80” オプションを付与
Dockerでマストドンやってたら、遮断したはずのポートが丸見えだった件 | Divide et impera
みんなマストドンをやっているだろうか？ 僕はやっている。 インスタンス管理をやっている。 こんなふうに運用していた conoHaのVPS CentOS7.3 Dockerで運用している ちなみにDockerは今回が初めて本格的に触った。 マストドンは裏側では3000ポートと4000ポートで待ち受けている。 3000の方は普通のWEB 4000の方はAPIを担当している。 HTTPサーバーであるnginxが、httpの80とhttpsの443で受け取ったら、 それぞれ3000と4000に送りつけている リバースプロキシという技だ。 通常、公開用のhttpとhttpsのポートだけ開けておく。 もちろん僕もそのようにしていた。 CentOS7以降はiptablesではなくfirewalldというファイアウォールのソフトウェアでポートの開け閉めを管理している。 firewalldで、許可するポート
ファイアウォールiptablesを簡単解説～初心者でもよくわかる！VPSによるWebサーバー運用講座(4) | さくらのナレッジ
Webサーバーだけの機能を持つサーバーの場合、以下のようにSSH(SFTP)、HTTP、HTTPSのポートを許可して、他の通信は拒否する設定にします。 よく使われるサービスのポート番号は、ウェルノウンポート番号(WELL KNOWN PORT NUMBERS)といって 0〜1023までのポート番号のどこかに割り当てられています。 詳しくは、以下のページをご覧ください。 TCPやUDPにおけるポート番号の一覧 - Wikipedia あなたのサーバーについて、どのポートを許可すべきかをあらかじめ調べておきましょう。 ファイアウォールiptablesの設定を行う それでは実際にiptablesの設定を行います。 はじめに、iptablesがインストールされていることを確認しましょう。 # which iptables /sbin/iptables whichコマンドで、iptablesがインス
DebianでのIPマスカレード設定 - knqyf263's blog
以前の記事（KVM環境でVMを作成 - knqyf263's blog）でVMを作成しましたが、これでは192.168.122.0/24というプライベートなネットワーク内でしか通信できないので、外に出れるようにホストOSにIPマスカレード（NAT）の設定を入れてみたいと思います。 環境 ホストOSはDebian 7.3を使っています。 ホストOSにはインタフェースが２つあって、グローバルIPアドレスをx.x.x.xとして、ブリッジインタフェースについているプライベートなIPアドレスを192.168.122.1とします。 ホストOS：Debian 7.3(wheezy) ホストOSのIPアドレス：192.168.122.1 ゲストOS：Ubuntu 13.10 server ゲストOSのIPアドレス：192.168.122.11 ネットワーク：192.168.122.0/24 参考サイト h
Debian上でのiptablesの設定方法 - インターネッツの砂浜でスカベンジャー
ネットでググると古い記事が多いので、Debian Wikiを参考に簡単な方法を書いてみます。 aptitude install iptables iptables-persistent まず、iptablesとiptables-persistentをインストールします。 iptables-persistentは後で役立ってきます。 iptables -L 早速、現在の設定を見てみると Chain INPUT (policy ACCEPT) target prot opt source destination Chain FORWARD (policy ACCEPT) target prot opt source destination Chain OUTPUT (policy ACCEPT) target prot opt source destinationこのように空っぽの状態だと思い
Debian上でのiptablesの設定方法の続き - インターネッツの砂浜でスカベンジャー
検索エンジン経由で以前書いた記事を読んでくれる方が結構多いようなのですが、この手の情報にありがちな時間の流れによって情報が古くなってたと言う状態だったので補足として書いておきます(；´Д｀) 以前は /etc/iptables.test.rules と言うファイル一つで管理されていたのですが /etc/iptables/rules.v4 /etc/iptables/rules.v6 現在は上記のようにIPv4用とIPv6用ごとに2つの設定ファイルを使うような仕組みになっています。 ですので、今後は上記のファイルに設定を保存することになります。 機能も微妙に追加されているので、詳しくは/etc/init.d/iptables-persistentを読んでみてください。
Raspberry PI で NAT ルータを作る
諸事情で NAT ルータが 1 台必要になったんだけど、ただブロードバンドルータを買ってくるのもつまらないなと考えて Raspberry PI で作ってみた。 あとは、終端するのが PPPoE じゃなくて DHCP だから、ブロードバンドルータだとそれができるのか分からなかったっていうのもある。 Raspberry PI を触るのはこれが初めてだけど、ようするに手のひらサイズで Linux が動くフツーのコンピュータだから何とでもなるだろう。 ぱっと調べたところハードドライブに相当する SD カードに OS のイメージを書き込んで使うことになるようだ。 最近だと NOOBS という OS のイメージとインストーラが同梱されているものがあって、それを使うと SD カードにコピーするだけで動くらしい。 それを使わない場合は OS のイメージを dd コマンドなんかで直接 SD カードに書き込ん
コピペから脱出！iptablesの仕組みを理解して環境に合わせた設定をしよう
Linuxのファイアウォール「iptables」について入門から実践まで解説 数回に分けてLinuxのファイアウォール「iptables（アイピーテーブルズ）」について解説します。 ネット上に有益な設定が溢れているので、あまり理解しないままコピーペーストで運用している方も多いはず。 しかしそれでは実際に攻撃された際に対処できません。 そこでこのページでは、初めてファイアーウォールについて学ぶ方でも理解できるように、全体像と細かな設定の意味について解説します。 目次 ファイアーウォールの種類 NATについて パケットフィルタリングの概要と書式 テーブルについて チェインについて オプションについて パラメータについて 拡張パラメータについて iptablesの記述順序とルールの適用順について ポリシーについて ファイアーウォールの種類 ファイアウォールと聞いて、まず何を思い浮かべるでしょうか
LVS/DSR + iptablesで切断したコネクションが消えなくてハマった - mikedaの日記
LVS+DSRでMySQLサーバの参照を分散してRailsから接続してみたところ、 デプロイごとにMySQLのコネクションが増えていくという事象が発生してハマりました。 ※Railsの持続的なコネクションだとそもそもLVSで分散できねーだろ、ってツッコミは今回は無しでお願いします・・・ 結論としてはLVS が FIN を落とすに書いてるとおり、LVSサーバのiptables設定がダメだったのですが、いちおう経緯を書いておきます。 iptables無しの状態 通常、MySQLに外部から接続すると $ mysql -utest -ptest -h192.168.1.111 tmp_app_development MySQLサーバ上にESTABLISHEDなコネクションが出来て、 [root@mysql01 ~]# netstat -an | grep 3306 tcp 0 0 0.0.0.0:
LVSでDSR(簡易構成) | Ore no homepage
えー、あー、LVSに関する記事です。あんまムツカシーこと考えずに作るならこれでいいんじゃね？って記事です。趣旨としては「LVSでDSRっていうとiptables設定したり、ARPに応答しないようにごにょごにょしたり、カーネルパラメータいじったり、めんどくさいんでしょ？」→「そんなこたぁねぇ！」って言いたいだけの記事です。 環境は次の条件とします。まぁ、「検証環境にロードバランサ置きたーい。」「LVSの冗長化のテストしたーい」みたいなケースですかね。 クライアント、LVS、リアルサーバは同じセグメントにいる 全てのマシンはLANインターフェイスを1つだけ持つ(eth0のみ、もしくはbond0のみ) LVSはDSRで動かす 図に表すとこうなる↓ client 特になにもしなくてOK。 たまに「ルーティングをVIPに向ける必要がある」みたいなブログを見るんですが、上述の条件の場合は不要なんじゃな
iptablesの設定内容確認と設定例
これを実行すると現状のフィルタリングルールを確認することができ、下記のように表示されると思います。(下記の表示結果はubuntu12.04の場合です) Chain INPUT (policy ACCEPT 0 packets, 0 bytes) target port opt source destination Chain FORWARD (policy ACCEPT 0 packets, 0 bytes) target port opt source destination Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes) target port opt source destination 上記のような結果が表示された場合は、policy ACCEPTと書かれていることから、全てのパケットに対して入ってくること、出ていくことが許可されてい
NATモードのKVM(+libvirt)にて、ゲストOSへSSHログインする - 海馬のかわり
良く忘れるので、メモ。 KVM(+libvirt)をNATモードにて使用する際に、ゲストOSを外部公開する(ポートマッピング)する為の設定。 ・環境 ホストOS: CentOS5.8 仮想NW : 192.168.122.0/24 ゲストIP: 192.168.122.101 ・概要 ホストの10022/tcp宛通信をゲストOSの22/tcpへマッピング ・現在のiptables設定確認 # iptables -nvL --line-numbers Chain INPUT (policy ACCEPT 0 packets, 0 bytes) num pkts bytes target prot opt in out source destination 1 0 0 ACCEPT udp -- virbr0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:53 2 0 0 ACC
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
KVM on Ubuntu: Port forwarding to a guest VM
はてなブログ | 無料ブログを作成しよう
