Referenzinformationen › Appliance-Katalog-Referenzhandbuch › Systemkatalog › Gateways › IN: Eingabe-Gateway mit Firewall (iptables)

IN: Eingabe-Gateway mit Firewall (iptables)

Schnellstartvideo anzeigen

Konfigurationsvideo anzeigen

Aktuelle Version: 4.1.2-1

Funktionsübersicht

IN ist ein Eingabe-Gateway, das einen Einstiegspunkt mit Firewall für Netzwerkverkehr in eine Anwendung bereitstellt.

IN akzeptiert allen erlaubten eingehenden Datenverkehr auf seiner externen Schnittstelle und leitet ihn durch sein Ausgabe-Terminal. IN leitet nur den Datenverkehr weiter, der durch die Konfiguration der Firewall-Eigenschaften ausdrücklich zugelassen ist. IN ignoriert nicht zugelassenen Datenverkehr.

IN unterstützt bis zu 4 eingehende Schnittstellen (Protokoll/Paarkombinationen), wie http, ssh usw. Standardmäßig erlaubt IN TCP-Port 80 (http).

IN wird für den Empfang des gesamten Netzwerkverkehr für Anwendungen verwendet. Der gesamte externe Datenverkehr muss ein IN-Gateway passieren, um auf Ressourcen oder Services innerhalb einer Anwendung zugreifen zu können.

Ressourcen

Terminals

Die externe Schnittstelle wird aktiviert. Sie wird für eingehenden Datenverkehr verwendet. Die externe Schnittstelle wird durch die in den folgenden Abschnitten aufgelisteten Eigenschaften konfiguriert.

Die Standardschnittstelle. Sie wird für Wartungszwecke verwendet (eingehende SSH-Verbindungen).

Eigenschaften

Basiskonfiguration

Die folgende Eigenschaftsgruppe definiert die Basis-Netzwerkeinstellungen für das Gateway.

Firewall-Konfiguration

Die folgende Eigenschaftsgruppe definiert die Firewall-Einstellungen für das Gateway. Es gibt zwei Filter, die zusammen verwendet werden können: von der Quell-IP-Adresse (allowed_hosts und denied_hosts) und von Protokoll/Port (ifaceX). Bis zu vier Protokoll/Port-Paare (Schnittstellen) können konfiguriert werden.

Hinweise:

• Der iface4-Filter kann konfiguriert werden, um andere eingehende Protokolle als tcp und udp zuzulassen.
• Alle 4 Schnittstellen können unabhängig voneinander konfiguriert werden; es ist nötig, Schnittstelle 1 und 2 zu konfigurieren, um Schnittstelle 3 zu konfigurieren. iface4 kann sogar auch konfiguriert werden, wenn iface3 nicht konfiguriert ist.
• Die Portnummer für iface4 hat ein etwas anderes Verhalten als die anderen Portnummern. Das Festlegen von iface4_port auf 0 bedeutet, dass die Portnummer nicht überprüft wird (dies funktioniert sowohl für Protokolle, die keine Portnummern haben, wie GRE, als auch für tcp und udp). Durch das Festlegen von iface{1,2,3}_port auf 0 wird die Schnittstelle deaktiviert (entspricht dem Festlegen des Protokolls auf "none").

Fehlermeldungen

Die folgenden Meldungen können entweder in der Appliance-Protokolldatei oder im Systemprotokoll der Grid-Steuerung angezeigt werden, wenn die Appliance nicht startet:

• iptables konnte nicht gestartet werden
• Regeln konnten nicht eingerichtet werden (Beendigungscode Code) mithilfe des Sicherungsregelsatzes
• Sicherungsregelsatz konnte nicht eingerichtet werden (Beendigungscode Code)

Einfache Eingabe-Firewall

Das folgende Diagramm zeigt eine typische Verwendung von IN für eine einfache Webserveranwendung:

Teileübersicht

• in1 - Eingabe-Gateway
• web1 - Webserver-Appliance

in1 akzeptiert HTTP-Anfragen auf seiner externen Schnittstelle und gibt sie durch das out-Terminal an web1 weiter.

Beispiel:

Erweiterte Firewall

In diesem Beispiel wird das Gateway so konfiguriert, dass HTTP- und HTTPS-Protokolle zugelassen werden (und das PPTP-Protokoll, das von Microsoft Windows VPN verwendet wird).

Beispiel:

Beachten Sie in diesem Beispiel die Verwendung von iface4 für das GRE-Protokoll. Es ist ok, iface4 zu füllen, auch wenn Schnittstellen mit niedrigen Zahlen nicht gefüllt werden.

Hinweise

Wenn ein Host vorhanden ist, direkt oder als Bestandteil eines Teilnetzes, und in beiden Listen allowed_hosts und denied_hosts aufgeführt wird, wird der Zugriff verweigert. IN lehnt zunächst alle abgelehnten Hosts ab und akzeptiert dann nur die erlaubten Hosts (Standardsicherheitsmaßnahme).

IN wird von der Anwendung nicht für den Zugriff externe Services verwendet. Anwendungen greifen über die Gateways OUT und NET auf externe Services (ausgehender Datenverkehr) zu.

iface4_protocol wurde nur mit TCP- und UDP-Protokollen getestet (da es keine Appliances gibt, die GRE- oder andere nicht-TCP/UDP-Protokolle unterstützen).

In der Appliance verwendete Open-Source- und Drittanbieter-Software

IN verwendet zusätzlich zu den Drittanbieter-Open-Source-Paketen der jeweiligen Basisklasse LUX6 die folgenden Drittanbieter-Open-Source-Pakete.