Docker kapsayıcısının ağ erişimini kısıtlama

Yalnızca SFTP Docker kapsayıcısı oluşturma sürecindeyim, yalnızca kendi chrooteditör Ortamında dosya yüklemek ve yönetmek için birden fazla kişi tarafından kullanılacak .

Kağıt üzerinde oldukça güvenli: Her bashgiriş formunu devre dışı bırakacağım ve içinde başka bir işlem yapmayacağım. Ancak biraz daha sertleştirmek istiyorum:

SFTP sunucusu olma amacı dışında, bu kapsayıcıya Internet'ten erişmesini engellemek istiyorum.

Her şeyi netleştirmek için: Dış dünyanın konteynere erişmesini nasıl önleyeceğimi biliyorum - Gelen iptableskuralları ayarlayabilirim ve docker çalıştırma komutumda yalnızca SFTP bağlantı noktasını açığa çıkarabilirim.

Ancak ben konteyner içinde koştu zaman aşağıdaki örnek (örnek olarak) başarısız yapmak istiyorum :

curl google.com

Amacım saldırıya uğramış bir konteynerin yapabileceği hasar miktarını azaltmaktır (spam e-posta göndermek için kullanılamamak vb.).

Saldırıları önlemeye yardımcı olmak için docker örneğinizin içine bazı giriş kuralları koymak yine de mantıklıdır, ancak docker görüntüsünün bağlandığı yukarı akış yönlendiricisinden giden (İnternet) erişimi sınırlamanız gerekecektir. Bunun nedeni, örneğin içindeki güvenlik duvarı kuralları ile giden erişimi engellemeye çalışırsanız, örneğin güvenliği ihlal edilirse, bu kurallar saldırgan tarafından kaldırılabilir. Örneğin yönlendiricisi üzerinden çıkışı engelleyerek, bir uzlaşma durumunda bile giden erişimi engellersiniz - saldırganın da yönlendiriciyi tehlikeye atması gerekir.

Tamam, bu yüzden filtrelemenin kabın sahibi için tasarlandığını açıklayan bazı yorumlar aldıktan sonra, neyin gerçekleştirilmeye çalışıldığı biraz daha net. Bu durumda, ana bilgisayarda, buna benzer bazı kurallar eklersiniz:

iptables -A FORWARD -s lo.cal.sub.net -d con.tai.ner.ip -j ACCEPT
iptables -A FORWARD -s con.tai.ner.ip -d lo.cal.sub.net -j ACCEPT
iptables -A FORWARD -s ! lo.cal.sub.net -d con.tai.ner.ip -p tcp --dport sftp -j ACCEPT
iptables -A FORWARD -s con.tai.ner.ip -d ! lo.cal.sub.net -p tcp --sport sftp -j ACCEPT
iptables -A FORWARD -s con.tai.ner.ip -m state --state related,established -j ACCEPT
iptables -A FORWARD -s con.tai.ner.ip -j DROP

İlk iki kural, ana bilgisayar ile kapsayıcı arasındaki erişim içindir. Üçüncü kural (kabaca), ana bilgisayarın SFTP'ye yönelen alt ağı olmayan her şeyin bizim tarafımızdan iyi olduğunu söylüyor; dördüncüsü, temelde üçüncüye ikiz olan giden kuraldır; beşinci kural bir tümünü yakalama yöntemidir (kullanılan diğer ilgili bağlantı noktaları varsa), gerekli olmamasına rağmen, muhtemelen kaldırabilirsiniz; son kural, ana bilgisayar alt ağından başka bir şeye erişimi engelleyen sihirdir. İlk birkaç kuralda erişim verildiğinden, önceki kurallardan hiçbiri geçerli olmadığı sürece hiçbir zaman tetiklenmez, bu durumda "ne istediğinizi umursamıyoruz, onayladığınız hiçbir şeyle eşleşmediniz, buradan gidemezsiniz ". Dışarıdan gelen trafik 3. ve 4. kurallar tarafından karşılanacaktır.

Bu gerçekten docker'a özgü bir sorun değil. Bunu çözmenin birkaç yolu vardır.

1. iptablesGelen bağlantılara ve ilgili / yerleşik trafiğe izin vermek için durum kurallarını kullanın, ardından her şeyi engelleyin.

2. Bir kabuk çalıştıramayan ProFTPD gibi yalnızca bir sftp hizmeti kullanın .

Genel olarak, kullanıcılarınızın bir kabuk almasına ve kapsayıcıdan program çalıştırmasına izin vermiyorsanız, bunun için endişelenmenize gerek yoktur.

Bu sadece hızlı bir beyin fırtınası ve henüz test etmedim. Üretime almadan önce laboratuarda veterinerlik yapmak isteyeceksiniz.

SSH dışı (SFTP) ve Web bağlantı noktalarında giden trafiği önlemek için, Hedef dışında, docker kapsayıcıları tarafından kullanılan segmentten kullanılan segmentten kaynaklı DROP veya REJECT trafiğine IPTABLES veya başka bir Katman4 güvenlik duvarı üzerinden ilke uygulamak isteyebilirsiniz. Bağlantı noktası TCP22'dir.

Web üzerinde onaylanmayacak yerlere gitme sorununu çözmek için, docker0 arabirimini dinleyen ve kullanan kalamar veya mavi kaplama gibi bir filtreleme / önbellek proxy örneği kurmayı deneyebilirsiniz. ev sahibinin internete çıkmak için defalt yolu. Oradan, birçok kriteri temel alan politika uygulayabilir ve statik içeriği önbelleğe alarak ağ kullanımını kaydedebilirsiniz. Sen (Benim tepki olarak bu tarif için şeffaf proxy kullanımını zorlamak için ana makinede NAT (Sanırım IPTABLES ve Masquerade Linux bu sağlamak) kullanmak isteyebilirsiniz Ben yalnızca HTTP ama emin değilim ne vekil istiyoruz HTTPS trafiği ile yapın ). Bunun, öncelikle şirketinizin politikalarına uygun olarak web'e girmek için bir nedeni vardır.

SSH'nin doğası gereği (SFTP'nin dayandığı), kapların yalnızca sizin sağladığınız anahtar çiftlerini kullanabileceği bir politika uygulamadığınız sürece dosya taşıma için trafiğin kesişmesini sağlayamazsınız. Bu sizin için iyidir, çünkü size " Aktarılan dosyalar üzerinde görünürlük veya kontrolüm yoktu"müşterilerinizden biri yasa dışı bir şey aktarıyorsa (IP ihlali gibi veya bir sınıflandırma etiketi taşıyan bilgileri genişletmek için hizmetinizi kullanıyorsa veya CP'de ticaret yapıyorsa), müşterilerinizin yaptığı bir şey için mahkemeye çıkarıldığınızda savunma ( Sık aktarılan, değiştirilmemiş dosyaları önbelleğe alamadığınız ve müşterilerinizle sözleşmeye yazdığınız herhangi bir politikanın teknik yollarla uygulanamayacağı için bu sizin için kötüdür.