Firewall-lar

Wolkra firewall-u trafiki serverlərinizə çatmazdan əvvəl süzən, daxil olan və çıxan qaydalardan ibarət pulsuz, stateful dəstdir. Qayda dəstini bir dəfə yaradın, sonra onu ayrı-ayrı serverlərə və ya label seçicisinə uyğun gələn bütün serverlərə tətbiq edin.

Firewall-lar necə işləyir

• Stateful. İcazə verilmiş bağlantılar üçün geri qayıdan trafikə avtomatik icazə verilir.
• Daxil olan və çıxan. Qaydalar serverə nəyin çata biləcəyini və istəsəniz, serverin nə göndərə biləcəyini idarə edir.
• Serverdən kənarda. Qaydalar şəbəkədə tətbiq olunur, ona görə də serverdəki proqram təminatı səhv konfiqurasiya edilsə və ya ələ keçirilsə belə işləməyə davam edir.
• Paylaşılan. Bir firewall çoxlu serveri qoruya bilər. Qaydanı bir dəfə dəyişin, hamısına tətbiq olunur.

Firewall yaradın

1. Konsolda Firewalls bölməsini açın və Create firewall seçin.
2. Ona ad verin, məsələn, web-public.
3. Qaydalar əlavə edin. Hər qaydanın istiqaməti, protokolu (TCP, UDP, ICMP və s.), lazım olduqda portu və ya port diapazonu, mənbə və ya təyinat ünvanları olur.
4. Onu serverlərə və ya label seçicisinə tətbiq edin.
5. Yadda saxlayın.

Serverlərə və ya label-lara tətbiq edin

Kiçik quraşdırma üçün ayrı-ayrı serverlər ən sadə seçimdir.

Label seçiciləri isə daha yaxşı miqyaslanır. Serverlərə role=web və ya env=prod kimi label-lar verin, sonra firewall-u role=web seçicisinə tətbiq edin. Bu label-a malik hər server, o cümlədən sonradan yaratdıqlarınız, qaydaları avtomatik alır. Label-lar server yaradarkən və ya sonradan server görünüşündə təyin olunur.

Nümunə qayda dəstləri

Aşağıdakı ünvan diapazonları nümunədir. Onları öz ofis, ev və ya VPN diapazonunuzla əvəz edin.

İctimai veb server

Şəxsi şəbəkədə verilənlər bazası

Bunu ümumiyyətlə ictimai IP-si olmayan serverlə birləşdirin; baxın: şəxsi şəbəkələr.

WireGuard VPN

Baxın: WireGuard bələdçisi.

Çıxan qaydalar

Bir çox quraşdırmada bütün çıxan trafikə icazə verilir və yalnız daxil olan trafik süzülür. Çıxan trafiki məhdudlaşdırırsınızsa, serverə nəyin lazım olduğunu unutmayın:

• resolver-inizə DNS (UDP və TCP 53);
• paket yeniləmələri üçün HTTP və HTTPS (TCP 80 və 443);
• saat üçün NTP (UDP 123);
• server e-poçt göndərirsə, SMTP və ya mail relay-iniz.

Yadda saxlamazdan əvvəl konsoldakı qayda xülasəsini yoxlayın, sonra serverdən curl -I https://example.com ilə test edin.

Firewall-lar və yük balanslaşdırıcıları

Serverlər yük balanslaşdırıcısının arxasında olduqda, tətbiq portuna hər yerdən deyil, yük balanslaşdırıcısının şəbəkəsindən icazə verin. Hədəflərə şəxsi şəbəkə üzərindən çatılırsa, yalnız həmin şəbəkə diapazonuna icazə verin.

Firewall-lar və Docker

Docker konteyner portlarını öz iptables qaydaları ilə açır və bu qaydalar serverdəki UFW-dən yan keçir. Bulud firewall-una bu təsir etmir, ona görə də o, konteyner portlarını qapalı saxlamağın etibarlı yoludur. Docker Compose bələdçisi bu yanaşmanı izah edir.

Problemlərin həlli

• SSH-a giriş bağlanıb: firewall-u redaktə edib cari ünvanınıza icazə verin və ya onu serverdən ayırın. Server görünüşündəki brauzer konsolu şəbəkə girişi olmadan işləyir.
• Servis əlçatan deyil: bulud firewall-unu, sonra UFW-ni (sudo ufw status), sonra servisin dinləyib-dinləmədiyini (sudo ss -tlnp) yoxlayın.
• IPv4-də işləyir, IPv6-da işləmir: qaydanın hər iki ünvan ailəsinə icazə verdiyinə əmin olun.

API

Firewall-lar API vasitəsilə https://api.wolkra.com/v1/firewalls ünvanında əlçatandır. Autentifikasiya üçün API tokenləri səhifəsinə baxın.

Məhsul səhifəsində ətraflı məlumat: firewall-lar.