Ferm / iptables Verwaltung

• Github:

Diese Rolle verwaltet die iptables mit dem ferm Skript.

Da es sehr schwierig ist, eine generische iptables-Vorlage zu schreiben, verschiebt diese Rolle einfach benutzerdefinierte ferm Konfigurationsausschnitte auf den Server und erzeugt die Regelsetzung mit iptables.

Anforderungen

• ansible: 2.1
• Redhat/CentOS: EPEL
• Ubuntu: multiverse Repository

Rollenvariablen

OS-basierte Variablen

Einige Variablen basieren auf dem Betriebssystem. Diese Variablen befinden sich in den vars/os-<OS>.yml Dateien.

Allgemeine Variablen

• ferm_directory: ferm-Konfigurationsverzeichnis, standardmäßig /etc/ferm
• ferm_service_state: ob ferm gestartet werden sollte
• ferm_service_enabled: ob ferm im Boot-Prozess aktiviert sein sollte

Firewall-Regeln

• ferm_rules_directory: wo ich nach den Firewall-Regeldateien suchen sollte, standardmäßig im Vorlagenverzeichnis des Playbooks
• ferm_net_mngt: Liste der Verwaltung Netzwerke, standardmäßig werden alle erlaubt
• ferm_domains: für welche IP-Version die Regeln generiert werden sollen, standardmäßig IPv4 und IPv6
• ferm_rules: Liste der anzuwendenden Regeln. Standardmäßig nur SSH und ICMP erlauben.

Die Leistungsfähigkeit der Vorlagenengine und des ferm-Systems zur Erzeugung von Regeln für IPv4 und IPv6. Die mühevolle Arbeit, die Regeln zu schreiben, liegt weiterhin bei Ihnen, aber Sie haben alles voll unter Kontrolle.

Beispiel

Host/Gruppenvariablen

ferm_rules_directory: {{ playbook_dir }}/files/ferm

ferm_rules:
  - vars
  - default_rules
  - connection_tracking
  - input_icmp
  - management
  - service_zabbix-agent

In diesem Fall sollten Sie folgende Dateien erstellen:

• {{ playbook_dir }}/files/ferm/rules/vars.conf.j2
• {{ playbook_dir }}/files/ferm/rules/default_rules.conf.j2
• ...

Sie sollten die ferm_rules in group_var oder host_vars für jede Gruppe oder jeden Server nach Bedarf umschreiben.

Playbook

Zum Beispiel könnten die ferm Variablen in Ihren group_vars/all so aussehen:

- hosts: ferm
  roles:
     - hudecof.ferm

Abhängigkeiten

Keine

Lizenz

BSD

Autoreninformation

Peter Hudec