Firewall

Hello,

Ik ben bezig om mn firewall aan te leggen maar ik kom er nu even niet uit..
Ik heb een Mysql server draaien op 172.17.0.4 op poort 3306, ik wil alle externe connecties rejecten en alleen lokale connecties toestaan..

Het lukt mij wel om poort 3306 te sluiten, alleen niet om daarna de juiste regel toe te voegen die zegt dat lokaal wel mag.

Ik werk níet via localhost (127.0.0.1)

Op de servers verbind ik met host mysql welke staat gekoppeld aan de bridge naar de hoofdserver (10.0.3.1), waar poort 3306 weer geforward wordt (via firewall) naar 172.17.0.4:3306 waar uiteindelijk de mysql server draait.

Iemand enig idee?
Om 3306 te rejecten (overal) heb ik

-A INPUT -p tcp -m tcp --dport 3306 -j REJECT

En voor het lokaal toestaan:

-A INPUT -s 172.17.0.0/32 -d 10.0.3.1/32 -j ACCEPT

Alleen dat werkt niet Mijn Mysql connection error zegt: Error: connect ECONNREFUSED

toevoeging op 24 februari 2014, 15:45:24:
Owja, en voor de mensen die skip-networking als oplossing hebben: Dat is géén oplossing voor mij, aangezien mysql dan alleen werkt via sockets en niet via tcp, en dat heb ik wel nodig aangezien ik geen zin heb om al mijn servers toegang te geven tot de map waar ik de sockets in opsla

Kun je via mysql zelf toch ook doen?
Daar kun je volgens mij instellen dat externe verbindingen niet worden geaccepteerd.

Nielsjojo schreef:

Kun je via mysql zelf toch ook doen?
Daar kun je volgens mij instellen dat externe verbindingen niet worden geaccepteerd.

Als je skip-networking bedoeld:

Quote:
Owja, en voor de mensen die skip-networking als oplossing hebben: Dat is géén oplossing voor mij, aangezien mysql dan alleen werkt via sockets en niet via tcp, en dat heb ik wel nodig aangezien ik geen zin heb om al mijn servers toegang te geven tot de map waar ik de sockets in opsla

Sorry, had ik niet gelezen.

Btw: vond dit op internet:

iptables -A INPUT -p tcp --dport 3306 -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

Hoop dat je er wat aan hebt.

Xjessex schreef:

En voor het lokaal toestaan:

-A INPUT -s 172.17.0.0/32 -d 10.0.3.1/32 -j ACCEPT

Alleen dat werkt niet
Klopt die 172.17.0.0/32 wel?

Moet dit geen /24 zijn?

Nielsjojo schreef:

Sorry, had ik niet gelezen.

Btw: vond dit op internet:

iptables -A INPUT -p tcp --dport 3306 -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

Hoop dat je er wat aan hebt.

Ik waardeer het dat je mij wilt helpen, maar lees mijn topic eerst eens dit is je tweede reactie waar ik niets aan heb.

toevoeging op 24 februari 2014, 22:03:59:

Marijnnn schreef:

Eerdere citaten tonen

Xjessex schreef:

En voor het lokaal toestaan:

-A INPUT -s 172.17.0.0/32 -d 10.0.3.1/32 -j ACCEPT

Alleen dat werkt niet

Klopt die 172.17.0.0/32 wel?

Moet dit geen /24 zijn?

De rest is ook /32, werkt prima

Je kunt het beter anders aanpakken. Eerst alles poorten die je wel open wilt hebben toestaan:

sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Vervolgens de rest blokkeren:

sudo iptables -A INPUT -j DROP

Vervolgens al het lokale verkeer toestaan:

sudo iptables -I INPUT 1 -i lo -j ACCEPT

Dit is uit het blote hoofd dus controleer voor de zekerheid even voordat je het gaat toepassen.

Hmm, dan zou ik het ook vanuit mijn bash scriptje moeten verwerken.
Aangezien ik een scriptje heb geschreven dat voor mij virtuele servers kan toevoegen met alles erop en eraan, en dus ook met port forwarding.

Maar tnx, zal het morgen direct gaan testen!