Есть ли способ заблокировать порты loadbalancer на GKE? - PullRequest
0 голосов
/ 19 февраля 2019

Я устанавливаю приложение с входом в GKE и хочу закрыть порты tcp / udp.Как мне их закрыть, за исключением настроек брандмауэра GCE.

При сканировании портов сторонним разработчиком я получил, что некоторые порты открыты и что в них может быть какая-либо уязвимость безопасности.

Что касается некоторых портов, они используются tcp / udp loadbalancer, сообщает официальный сайт gcp. 1

Сейчас я использую балансировщик нагрузки HTTPS и не настраиваю другие параметры открытия портов.Я думаю, что глобальный балансировщик нагрузки является наиболее внешним, и настройка брандмауэра эффективна в любых бэкэндах за балансировщиком нагрузки.

Для пробного использования я устанавливаю настройку брандмауэра, которая запрещает входное соединение сПриоритет лучше всего, однако эффект не отображается.

Список целевых портов: открытый порт tcp: 25,43,110,143,195,465,587,700,993,995,1883,3389,5222,5432,5671,5672,5900,5901,6379,8080,8085, 8099,9092,9200,9300 открытый порт udp: 443

Используя nmap, проверку соединения на PowerShell, они показали тот же результат.

Все порты, описанные выше, остаются открытыми.

PS C:\Users\L> $tc = New-Object System.Net.Sockets.tcpClient
PS C:\Users\L> $tc.connect("target-doamin", 25)
PS C:\Users\L> $tc.connected
True

1 Ответ

0 голосов
/ 19 февраля 2019

Согласно документации правила брандмауэра применяются на уровне экземпляра.Поэтому они не могут помешать трафику достичь самого Load Balancer.

В качестве обходного пути я предлагаю определить Сетевые теги и настроить их для правил брандмауэра.

...