主页 / unix / 问题 / 558581
Accepted
Miguel Mesquita Alfaiate
Asked: 2019-12-24 02:24:17 +0800 CST

nftables 只允许来自特定 IP 地址的 redis

  • 772

我正在配置一个 REDIS 服务器，我只想允许来自一组特定 IP 地址的连接。

这是一个 Debian 10 服务器，推荐使用的框架是 nft，我以前没有使用过。

默认规则集是这样的：

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
        chain input {
                type filter hook input priority 0;
        }
        chain forward {
                type filter hook forward priority 0;
        }
        chain output {
                type filter hook output priority 0;
        }
}

我需要在该文件中添加什么规则以允许从 IP 到 redis 的传入连接，1.1.1.1并2.2.2.2删除其他所有内容？

REDIS 正在使用端口6379。

firewall nftables

2 个回答

  1. Best Answer

    万一其他人偶然发现了同样的问题，我的主要问题是我使用的规则顺序不正确。

    我在接受规则之前添加了一个丢弃规则，这似乎反过来起作用。

    这是删除除 2 之外的所有 IP 地址的示例规则：

    ip saddr 1.1.1.1 tcp dport 6379 accept
ip saddr 2.2.2.2 tcp dport 6379 accept
tcp dport 6379 drop

    完整的规则文件：

    #!/usr/sbin/nft -f

flush ruleset

table inet filter {
        chain input {
                type filter hook input priority 0;
                # allow connection to redis from
                ip saddr 1.1.1.1 tcp dport 6379 accept
                ip saddr 2.2.2.2 tcp dport 6379 accept
                tcp dport 6379 drop
        }
        chain forward {
                type filter hook forward priority 0;
        }
        chain output {
                type filter hook output priority 0;
        }
}
    • 2

  2. 强烈推荐的一项是

            chain input {
           type filter hook input priority 0;
           policy drop;
           # required items below
        }

    请注意，所有东西都被丢弃，这是管理防火墙的最安全方法，除非明确允许，否则所有东西都被丢弃。

    • -2

相关问题