Dominic P Asked: 2018-11-08 21:01:23 +0800 CST2018-11-08 21:01:23 +0800 CST 2018-11-08 21:01:23 +0800 CST 我可以在 Linux 中锁定对 TCP 端口的访问吗 772 我正在尝试保护单节点 Elasticsearch 机器。基本上，我想将 Elasticsearch 放在反向代理 (nginx) 后面，并确保任何用户或进程与 Elasticsearch 通信的唯一方式是通过代理。 如果 Elaticsearch 支持监听 unix 套接字，这将是微不足道的。我可以在套接字文件上设置适当的权限并完成。但是，因为它没有，所以我只能在 TCP 端口上进行监听。 我已经阅读了一些关于网络名称空间的内容，似乎它们可以工作，但我对它们的经验为零。 是否有一种简单且安全的方法来确保机器上唯一可以与 Elasticsearch 通信的进程/用户是 nginx？ security network-namespaces 1 个回答 Voted Best Answer dirkt 2018-11-09T00:04:48+08:002018-11-09T00:04:48+08:00 为了防止本地非 root 用户，我确实会使用网络命名空间。 这可能是最简单的解决方案，因为通常网络内容与用户/组管理分离，虽然可以将两者混合使用iptables，但它会增加开销。 网络命名空间仅依赖于只有 root 才能将进程移入和移出命名空间这一事实。 所以你需要一个类似于 (ns = namespace) 的设置 main ns ---- nginx ns ---- elasticsearch ns 其中连接由具有自己的 LAN 段的虚拟以太网 (veth) 对实现。这意味着主命名空间中的每个进程都只能访问 nginx 命名空间，并且不能直接访问 elasticsearch 命名空间（除非您能够在此命名空间中启动进程）。 您需要了解有关网络的基础知识（LAN 网段、网络掩码、路由与默认路由）。ip netns ...是用于创建和管理网络空间以及在命名空间中启动进程的命令行工具。ip link ...是创建 veth-pairs 的命令行工具。 我建议xterm在每个命名空间中启动一个，以便您可以查看和修改网络配置。一旦一切正常，只需编写脚本即可。 你需要玩一下它，但这并不难。我想不出更简单的方法来做到这一点。 编辑 要开始使用命名空间，请尝试此答案中的脚本，或查看此问题。 我不确定你被困在哪里。网络命名空间。将每个命名空间视为自己的联网虚拟计算机，它恰好与物理计算机的其余部分共享文件系统和其他内容。所以处理命名空间与连接局域网中的计算机是一样的。一个重要的工具是虚拟以太网对，您可以将其视为连接两个网络命名空间的虚拟 LAN 电缆。
为了防止本地非 root 用户，我确实会使用网络命名空间。
这可能是最简单的解决方案，因为通常网络内容与用户/组管理分离，虽然可以将两者混合使用
iptables，但它会增加开销。网络命名空间仅依赖于只有 root 才能将进程移入和移出命名空间这一事实。
所以你需要一个类似于 (ns = namespace) 的设置
其中连接由具有自己的 LAN 段的虚拟以太网 (veth) 对实现。这意味着主命名空间中的每个进程都只能访问 nginx 命名空间，并且不能直接访问 elasticsearch 命名空间（除非您能够在此命名空间中启动进程）。
您需要了解有关网络的基础知识（LAN 网段、网络掩码、路由与默认路由）。
ip netns ...是用于创建和管理网络空间以及在命名空间中启动进程的命令行工具。ip link ...是创建 veth-pairs 的命令行工具。我建议
xterm在每个命名空间中启动一个，以便您可以查看和修改网络配置。一旦一切正常，只需编写脚本即可。你需要玩一下它，但这并不难。我想不出更简单的方法来做到这一点。
编辑
要开始使用命名空间，请尝试此答案中的脚本，或查看此问题。
我不确定你被困在哪里。网络命名空间。将每个命名空间视为自己的联网虚拟计算机，它恰好与物理计算机的其余部分共享文件系统和其他内容。所以处理命名空间与连接局域网中的计算机是一样的。一个重要的工具是虚拟以太网对，您可以将其视为连接两个网络命名空间的虚拟 LAN 电缆。