关于企业云服务器防火墙的设置

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

Recommended Services

› Amazon Web Services

› LeanCloud

› New Relic

› ClearDB

这是一个创建于 2873 天前的主题，其中的信息可能已经有所发展或是发生改变。

请教个问题，企业云服务器的防火墙策略是使用后台自带的《安全组》来设置呢? 还是直接做在每台主机上比较好呢？

公司同事说应该把防火墙规则写到每台主机的 iptables 规则里，在后台的《安全组》里建立防火墙规则有点 low 。。。《安全组》只是起辅助作用的。

我觉得在后台的《安全组》为每台服务器配置对应的防火墙规则，比在每台主机上建立 iptables 规则更加方便且易于管理。

原因：

1.《安全组》里的防火墙规则优先级应该是大于主机上的 iptables 规则。

2.有些主机的规则，已经配置在安全组了。

第 1 条附言 · 2017-01-16 22:18:30 +08:00

我目前想到一个主机上 iptables 可配置，但一般《安全组》不提供的功能。
比如 iptables 的路由转发 /端口映射这种操作。
《安全组》一般都只是提供内外网的进出策略。

防火墙

规则

iptables

主机

10 条回复 • 2017-01-16 23:32:40 +08:00

daweibao

2017-01-16 19:48:35 +08:00

aws 推荐使用安全组

salmon5

2017-01-16 20:21:30 +08:00

安全组，因为:1,安全组灵活，组内新加机器直接通信， iptables 做不到。
2 ，安全组在主机之外，即使主机被黑，没法关闭安全组的防火墙规则。
3 ， iptables 维护成本高。

solrted

2017-01-16 20:42:36 +08:00 via Android

直接用的安全组， iptable 关闭

ywgx

2017-01-16 20:49:48 +08:00

核心区别在于一个管理成本的问题：
安全组的话，依赖云平台，如果粗一点的话，一个大安全组可以，细粒度一点的话，按应用组设置安全组也行

如果需要可编程的管理方式的话，推进 salt 这种模版，比如下面就是一个只允许 10.0.0.0/8 内网段放行，你可以根据不同的应用组，一个模版，这样管理起来，非常的方便和快捷

flush all:
iptables.flush:
- family: ipv4
default deny INPUT:
iptables.set_policy:
- family: ipv4
- table: filter
- chain: INPUT
- policy: DROP
default deny FORWARD:
iptables.set_policy:
- family: ipv4
- table: filter
- chain: FORWARD
- policy: DROP
default allow OUTPUT:
iptables.set_policy:
- family: ipv4
- table: filter
- chain: OUTPUT
- policy: ACCEPT
allow related and established:
iptables.append:
- family: ipv4
- table: filter
- chain: INPUT
- jump: ACCEPT
- match: state
- connstate: RELATED,ESTABLISHED
allow icmp:
iptables.append:
- family: ipv4
- table: filter
- chain: INPUT
- jump: ACCEPT
- proto: icmp
allow loopback:
iptables.append:
- family: ipv4
- table: filter
- chain: INPUT
- jump: ACCEPT
- in-interface: lo
allow private:
iptables.append:
- table: filter
- chain: INPUT
- proto: all
- source: 10.0.0.0/8
- jump: ACCEPT
- save: True

a1044634486

2017-01-16 21:00:22 +08:00

长知识了.还有安全组..我问下不是云主机能用安全组吗

notolddriver

2017-01-16 22:14:58 +08:00

@a1044634486 可以是可以啊，自己开发喽。但一般没啥必要。

abcbuzhiming

2017-01-16 22:41:24 +08:00

@notolddriver 这个安全组到底是个什么样的技术啊？有基本原理描述吗

mytsing520

2017-01-16 23:00:39 +08:00

用的安全组

mytsing520

2017-01-16 23:00:52 +08:00

@abcbuzhiming 你就把他看作一个防火墙就行

notolddriver

2017-01-16 23:32:40 +08:00

@abcbuzhiming

虚拟机懂吧？
你在自己电脑上开了 10 台虚拟机，比如使用 vmware 上建了 10 台 centos 6.8 的机器。

想象成你在阿里云购买了 10 台云服务器，各种云服务器其实都是基于虚拟化实现的嘛。

然后你要管理这 10 台虚拟机的防火墙策略对吧， 2 种方法：

1.开发一套 web 后台嘛，部署在自己电脑上，通过操作虚拟机与自己电脑的网络接口，来管理虚拟机与外网的访问。 [外层防火墙嘛]
2.分别在每台虚拟机上使用 iptables ，来限制虚拟机与外网的访问。

我只是大概举个例子哦，实际情况比这不知道高到哪里去了。 = 。-！