Vasily Yakunin

Закрываем ESXi от мира. ESXi Firewall

Если идти православным путем, вы не должны выпускать ESXi в мир, то есть доступ до самих хостов архитектурно должны быть в приватных сетях, как менеджмент, так и все остальное. Но иногда, нужно, что бы они были доступны и из мира. Что тогда? Тогда все "мамкины" хакеры и просто обыватели раз за разом, либо будут вас пытаться поломать, либо просто сканировать. Не говоря уже про то, что ребята из VMWare периодически пропускают критические уязвимости в связи с чем начинают выпускать все новые и новые патчи! Что делать? Закрывать все! Естественно!

Внимание: Внимательно отнеситесь к материалу статьи, действия с firewall могут привести к потере контроля над ESXi хостом и будет требовать прямого доступа к серверу.

Для начала вам необходимо включить SSH доступ, сделать это можно попав в веб интерфейс вашего хоста, далее зайти в сервисы и включить SSH. При этом система обязательно выведет вам предупреждение о том, что ssh теперь доступен! И нужно не забыть выключить его после всех манипуляций. Хорошо! И так, будем считать вы успешно зашли на хост, для начала необходимо понять включен ли на хосте firewall, и если нет, включить его. По-умолчанию правила фаервола разрешают все и всем.

esxcli network firewall get
esxcli network firewall ruleset allowedip list

Если изначально все было доступно всем, эти правила сохранятся, даже если мы включим firewall, потому как в разрешенных адресах указано All. Включаем firewall и ставим политику по умолчанию DROP.

esxcli network firewall load
esxcli network firewall set --default-action DROP
esxcli network firewall set --enabled true

Первое, что стоит закрыть это доступ по http/https протоколам, для этого пропишем следующие правила (если вам необходимо доступ с нескольких адресов, вы должны повторить для всех необходимых адресов правила в котором он добавляется).

esxcli network firewall ruleset set --ruleset-id=vSphereClient --allowed-all=False
esxcli network firewall ruleset allowedip add --ip-address=YOUR_IP_ADDR/32 --ruleset-id=vSphereClient
esxcli network firewall ruleset set --ruleset-id=vSphereClient --enabled=True

Но у нас остается ещё целая куча сервисов, что делать с этим? Получить их все, выбрать только названия написать небольшой цикл на bash и ограничить по шаблону правил выше. За исключением некоторых сервисов которые необходимы для работы системы и не представляют угрозы для нас.

esxcli network firewall ruleset list | awk '{print $1}' | grep -vE "(Name|-|ssh|dns|ntp)"

А так же, я взял табличку сервисов с сайта VMWare: