Runbook: Pravila požarnega zidu

Nadzor dostopa za Data Gateway na omrežni ravni.

PowerShell (kot administrator):

# Vhodni: Dovoli HTTPS
New-NetFirewallRule -DisplayName "Data Gateway HTTPS" `
    -Direction Inbound -Action Allow -Protocol TCP -LocalPort 443
 
# Vhodni: Samo iz določenih IP-jev
New-NetFirewallRule -DisplayName "Data Gateway HTTPS Restricted" `
    -Direction Inbound -Action Allow -Protocol TCP -LocalPort 443 `
    -RemoteAddress "10.0.0.0/8","192.168.0.0/16"
 
# Izhodni: Dovoli SQL Server
New-NetFirewallRule -DisplayName "Data Gateway to SQL Server" `
    -Direction Outbound -Action Allow -Protocol TCP -RemotePort 1433
 
# Navedi pravila
Get-NetFirewallRule -DisplayName "Data Gateway*" | Format-Table Name, Enabled, Direction, Action
 
# Odstrani pravilo
Remove-NetFirewallRule -DisplayName "Data Gateway HTTPS"

# Odpri HTTPS port
sudo firewall-cmd --permanent --add-port=443/tcp
 
# Samo iz določenega omrežja
sudo firewall-cmd --permanent --add-rich-rule='
    rule family="ipv4"
    source address="10.0.0.0/8"
    port protocol="tcp" port="443"
    accept'
 
# Uveljavi spremembe
sudo firewall-cmd --reload
 
# Prikaži pravila
sudo firewall-cmd --list-all
 
# Odstrani pravilo
sudo firewall-cmd --permanent --remove-port=443/tcp
sudo firewall-cmd --reload

# Dovoli HTTPS
sudo ufw allow 443/tcp
 
# Iz določenega omrežja
sudo ufw allow from 10.0.0.0/8 to any port 443 proto tcp
 
# Prikaži stanje
sudo ufw status verbose
 
# Odstrani pravilo
sudo ufw delete allow 443/tcp

# Dovoli HTTPS
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
 
# Samo iz določenega omrežja
sudo iptables -A INPUT -p tcp --dport 443 -s 10.0.0.0/8 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j DROP
 
# Shrani pravila
sudo iptables-save > /etc/iptables/rules.v4
 
# Prikaži pravila
sudo iptables -L -n --line-numbers
 
# Odstrani pravilo (po številki)
sudo iptables -D INPUT 3

# Ustvari Security Group
aws ec2 create-security-group \
    --group-name gateway-sg \
    --description "Data Gateway Security Group" \
    --vpc-id vpc-12345678
 
# HTTPS od vsepovsod
aws ec2 authorize-security-group-ingress \
    --group-id sg-12345678 \
    --protocol tcp \
    --port 443 \
    --cidr 0.0.0.0/0
 
# HTTPS samo iz VPN
aws ec2 authorize-security-group-ingress \
    --group-id sg-12345678 \
    --protocol tcp \
    --port 443 \
    --cidr 10.0.0.0/8

# Ustvari NSG
az network nsg create \
    --resource-group rg-gateway \
    --name gateway-nsg
 
# HTTPS-pravilo
az network nsg rule create \
    --resource-group rg-gateway \
    --nsg-name gateway-nsg \
    --name AllowHTTPS \
    --priority 100 \
    --direction Inbound \
    --access Allow \
    --protocol Tcp \
    --destination-port-ranges 443 \
    --source-address-prefixes '10.0.0.0/8'

Alternativa požarnemu zidu: Filtriranje v aplikaciji.

appsettings.json:

{
  "Security": {
    "AllowedIPs": [
      "10.0.0.0/8",
      "192.168.0.0/16",
      "172.16.0.0/12"
    ]
  }
}

# Lokalno
curl https://localhost/health
 
# Iz dovoljenega omrežja
curl https://gateway.example.com/health
 
# Od zunaj (mora biti blokirano)
curl --connect-timeout 5 https://gateway.example.com/health
# Pričakovano: Connection refused ali Timeout

• Nastavitev TLS - Aktivacija HTTPS
• Kubernetes - NetworkPolicies
• Opozarjanje - Nadzor povezav

« <- Obnova certifikata | -> Pregled operaterja »

Wolfgang van der Stille @ EMSR DATA d.o.o. - Data Gateway Professional