mi
72 lines
2.5 KiB
Bash
72 lines
2.5 KiB
Bash
#!/usr/bin/env bash
|
|
set -Eeuo pipefail
|
|
|
|
PRIVATE_IP="${PRIVATE_IP:-192.168.0.5}"
|
|
PRIVATE_CIDR="${PRIVATE_CIDR:-192.168.0.0/24}"
|
|
|
|
if [[ $EUID -ne 0 ]]; then
|
|
echo "Запустите через sudo." >&2
|
|
exit 1
|
|
fi
|
|
[[ "$PRIVATE_CIDR" =~ ^[0-9.]+/[0-9]+$ ]] || {
|
|
echo "Некорректный PRIVATE_CIDR: ${PRIVATE_CIDR}" >&2
|
|
exit 1
|
|
}
|
|
ip -4 addr show | grep -Fq "inet ${PRIVATE_IP}/" || {
|
|
echo "Приватный адрес ${PRIVATE_IP} не найден." >&2
|
|
exit 1
|
|
}
|
|
|
|
cat <<EOF
|
|
Будут применены правила UFW:
|
|
|
|
входящий по умолчанию: deny
|
|
исходящий по умолчанию: allow
|
|
TCP 22 с любого источника (ограничение IP — в SG провайдера)
|
|
TCP 4317/4318 только из ${PRIVATE_CIDR} на ${PRIVATE_IP} (ВМ1 и ВМ2)
|
|
TCP 8080 не открывается: UI только через SSH-туннель на 127.0.0.1:8080
|
|
|
|
Пример туннеля с рабочей станции:
|
|
|
|
ssh -i ~/.ssh/hansel -L 8080:127.0.0.1:8080 root@<IP_ВМ3> -N
|
|
|
|
До продолжения откройте вторую SSH-сессию, чтобы не потерять доступ.
|
|
EOF
|
|
read -r -p "Введите APPLY для применения правил: " answer
|
|
[[ "$answer" == APPLY ]] || { echo "Отменено."; exit 1; }
|
|
|
|
if ! command -v ufw >/dev/null; then
|
|
apt-get update
|
|
apt-get install -y ufw
|
|
fi
|
|
|
|
ufw --force reset
|
|
ufw default deny incoming
|
|
ufw default allow outgoing
|
|
ufw logging medium
|
|
|
|
# Источник SSH на хосте не фильтруем: allow-list делает файрвол приватной
|
|
# сети / SG провайдера. Проброс UI идёт внутри этой сессии и не требует 8080.
|
|
ufw allow 22/tcp comment "SSH (source limited by provider SG)"
|
|
|
|
ufw allow from "$PRIVATE_CIDR" to "$PRIVATE_IP" port 4317 proto tcp \
|
|
comment "HAN OTLP gRPC from private net"
|
|
ufw allow from "$PRIVATE_CIDR" to "$PRIVATE_IP" port 4318 proto tcp \
|
|
comment "HAN OTLP HTTP from private net"
|
|
|
|
ufw --force enable
|
|
ufw status verbose
|
|
|
|
cat <<EOF
|
|
|
|
UI не публикуется. Туннель:
|
|
|
|
ssh -i ~/.ssh/hansel -L 8080:127.0.0.1:8080 root@<IP_ВМ3> -N
|
|
|
|
затем http://127.0.0.1:8080 на рабочей станции.
|
|
|
|
Docker-публикации могут обходить UFW INPUT. Если 4317 доступен вне
|
|
${PRIVATE_CIDR}, ограничьте источник в SG провайдера. casting.yaml биндит
|
|
OTLP на ${PRIVATE_IP}, UI — на loopback.
|
|
EOF
|