Компания, в которой я размещаю (Softlayer), требует, чтобы я открыл диапазоны портов от 48000 до 48020 для их службы мониторинга.
Из ifconfig это мои интерфейсы:
eth0 Link encap:Ethernet HWaddr 06:3F:74:F6:7F:0C
inet addr:10.54.12.130
...
eth1 Link encap:Ethernet HWaddr 06:0C:1E:65:0E:A8
inet addr:50.23.75.242
....
Это мои текущие правила iptables:
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT all -- anywhere anywhere
2 REJECT all -- anywhere loopback/8 reject-with icmp-port-unreachable
3 ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
4 ACCEPT tcp -- anywhere anywhere tcp dpt:http
5 ACCEPT tcp -- anywhere anywhere tcp dpt:https
6 ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ici
7 REJECT all -- anywhere anywhere reject-with icmp-port-unreachable
Chain FORWARD (policy ACCEPT)
num target prot opt source destination
1 REJECT all -- anywhere anywhere reject-with icmp-port-unreachable
Chain OUTPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT all -- anywhere anywhere
Я пробовал эту команду iptables: iptables -I INPUT 7 -i eth0 -p tcp -s 10.54.12.130 --dport 48000:48020 -j ACCEPT
Что приводит к следующему:
Chain INPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT all -- anywhere anywhere
2 REJECT all -- anywhere loopback/8 reject-with icmp-port-unreachable
3 ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
4 ACCEPT tcp -- anywhere anywhere tcp dpt:http
5 ACCEPT tcp -- anywhere anywhere tcp dpt:https
6 ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ici
7 ACCEPT tcp -- 10.54.12.130 anywhere tcp dpts:nimcontroller:48020
8 REJECT all -- anywhere anywhere reject-with icmp-port-unreachable
Chain FORWARD (policy ACCEPT)
num target prot opt source destination
1 REJECT all -- anywhere anywhere reject-with icmp-port-unreachable
Chain OUTPUT (policy ACCEPT)
num target prot opt source destination
1 ACCEPT all -- anywhere anywhere
Но инструмент Nimsoft-monitor-testing, который предоставляет Softlayer, показывает, что он не может подключиться.
Что я делаю не так?
10.54.12.130 - это ваш внутренний IP-адрес, а не внутренний IP-адрес сервера Nimsoft Softlayer. Вы разрешаете подключения к этим портам только с вашего собственного IP-адреса! Вот почему это не работает.
Чтобы решить эту проблему, измените исходный IP-адрес на IP-адрес сервера Nimsoft, предоставленный вам Softlayer, или, если это надежная сеть управления, вы можете полностью опустить исходный IP-адрес. Сами Softlayer рекомендуют вы используете источник 10.0.0.0/8. Итак, правило будет выглядеть так:
-A INPUT -i eth0 -s 10.0.0.0/8 -p tcp -m state --state NEW --dports 48000:48020 -j ACCEPT