보안

카우치베이스 DB 및 카우치베이스 모바일 동기화 게이트웨이용 IPTables 방화벽 설정

사람들이 실제로 어떤 포트를 열어야 하는지 알아내지 않고 그냥 IPtables를 끄는 것은 너무 흔한 일입니다. 저도 그렇게 해본 적이 있습니다. 이제 그만해야 합니다. IPtables는 우리의 친구입니다. 이를 위해 다음은 IPtables를 구성하는 데 사용할 수 있는 스크립트의 본문입니다.

# 카우치베이스 DB 서버 포트
iptables -A INPUT -p tcp -m state -state NEW -m tcp -dport 4369 -j ACCEPT
iptables -A INPUT -p tcp -m state -state NEW -m tcp -dport 8091 -j ACCEPT
iptables -A INPUT -p tcp -m state -state NEW -m tcp -dport 8092 -j ACCEPT
iptables -A INPUT -p tcp -m state -state NEW -m tcp -dport 11209 -j ACCEPT
iptables -A 입력 -p tcp -m 상태 -state NEW -m tcp -dport 11210 -j 수락
iptables -A INPUT -p tcp -m state -state NEW -m tcp -dport 11211 -j ACCEPT
iptables -A INPUT -p tcp -m state -state NEW -m tcp -dport 11214 -j ACCEPT
iptables -A INPUT -p tcp -m state -state NEW -m tcp -dport 11215 -j ACCEPT
iptables -A 입력 -p tcp -m 상태 -state NEW -m tcp -dport 18091 -j 수락
iptables -A 입력 -p tcp -m 상태 -state NEW -m tcp -dport 18092 -j 수락

iptables -A INPUT -p tcp -m state -state NEW -m tcp -dport 21100:21199 -j ACCEPT
 

# 카우치베이스 동기화 게이트웨이 포트
iptables -A 입력 -p tcp -m 상태 -state NEW -m tcp -dport 4984 -j 수락

# 동기화 게이트웨이 서비스의 관리자 인터페이스를 외부 트래픽에 개방하려는 경우:
iptables -A 입력 -p tcp -m 상태 -state NEW -m tcp -dport 4985 -j 수락

# 추가가 끝나면 다음 두 명령을 실행하여 REJECT가 다음과 같은지 확인합니다.
를 추가하세요. 그렇지 않으면 작동하지 않습니다. 첫 번째는 삭제하고 두 번째는 다시 추가합니다.
# 그 이유는 그렇지 않으면 체인의 라인 번호로 들어가야하며 설명하기가 더 어렵 기 때문입니다.
를 클릭하세요.

iptables -D 입력 -j 거부 -reject-with icmp-host-prohibited
iptables -A INPUT -j REJECT -reject-with icmp-host-prohibited????

 

루트로 실행하여 모든 항목이 올바르게 입력되었는지 확인합니다. iptables --list. 다음과 같이 표시되어야 합니다:

# iptables -list
체인 입력(정책 수락)
대상 프로텍트 옵트 소스 목적지         
모두 수락 - 어디서나 상태 관련, 설정됨 
ACCEPT icmp - 어디서나            
어디서나 모두 수락            
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:ssh 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:epmd 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:jamlink 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:8092 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:11209 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:11210 
tcp 수락 - 어디서나 어디서나 상태 NEW tcp dpt:memcache 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:11214 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:11215 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:18091 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:18092 
수락 tcp - 어디서나 어디서나 상태 NEW tcp dpt:webyast
모두 거부 - 어디서나 거부 - ICMP 호스트가 금지된 경우

체인 포워드(정책 수락)
대상 프로텍트 옵트 소스 목적지         
모두 거부 - 어디서나 거부 - ICMP 호스트가 금지된 경우 

체인 출력(정책 수락)
대상 프로텍트 옵트 소스 목적지

이 설정이 완료되면 저장하는 것을 잊지 마세요(서비스 IP테이블 저장). 또한 입력 체인에 대한 REJECT가 끝에 있는지 확인해야 합니다. 그렇지 않으면 해당 REJECT 아래에 나열된 포트에 대한 모든 트래픽이 거부됩니다.

이것은 로컬 서버 보안에만 해당된다는 점만 기억하세요! 그렇습니다 NOT 네트워크 방화벽 또는 AWS 보안 그룹/네트워크를 대신할 수 있습니다. ACL. 둘 다 사용해야 합니다.

네트워크 포트에 대한 자세한 내용은 다음을 참조하세요. Couchbase 관리자 문서 또는 Couchbase 모바일 문서를 참조하세요.

이 블로그 게시물에서는 IPTables 또는 이러한 설정에 대해 명시적 또는 묵시적으로 어떠한 보증도 제공하지 않습니다. 시스템 보안에 관해서는 사용자가 직접 확인해야 합니다. 그러니 현명하게 사용하시기 바랍니다.

이 문서 공유하기
받은 편지함에서 카우치베이스 블로그 업데이트 받기
이 필드는 필수 입력 사항입니다.

작성자

게시자 커크 커크코넬, 수석 솔루션 엔지니어, Couchbase

커크 커크코넬은 카우치베이스의 선임 솔루션 엔지니어로 다양한 역량으로 고객과 협력하여 카우치베이스의 설계, 배포 및 관리를 지원했습니다. 그의 전문 분야는 대규모 애플리케이션 및 데이터베이스 인프라의 운영, 호스팅 및 지원입니다.

댓글 하나

  1. Windows Server용 스크립트는 무엇인가요?
    고마워요

댓글 남기기

카우치베이스 카펠라를 시작할 준비가 되셨나요?

구축 시작

개발자 포털에서 NoSQL을 살펴보고, 리소스를 찾아보고, 튜토리얼을 시작하세요.

카펠라 무료 사용

클릭 몇 번으로 Couchbase를 직접 체험해 보세요. Capella DBaaS는 가장 쉽고 빠르게 시작할 수 있는 방법입니다.

연락하기

카우치베이스 제품에 대해 자세히 알고 싶으신가요? 저희가 도와드리겠습니다.