Gluster: Ports in Firewall öffnen

[Rüdiger Kupper]

Damit zukünftig unsere Clients direkt das GlusterFS von den Servern mounten können, müssen diese über (mindestens) zwei Ports aus dem Schüler- und Lehrernetz erreichbar sein:

• 24007 für den glusterd
• 49152 (vorrauss.) für das Volume

Muss wohl in die Konfiguration der LML eingetragen werden.

Braucht auch der paedml die Freigabe, oder kann der schon auf die Ports zugreifen?

[Rüdiger Kupper]

Siehe ​https://docs.gluster.org/en/latest/Administrator-Guide/Setting-Up-Clients/

[bau]

Wie ich geschrieben hatte:

• Zugang aus dem Lehrernetz ist FÜR ALLE Rechner (also auch den paedml) über den bereits eingetragenen Standard-Router möglich.
• Zugang aus dem pädagogischen Netz (grün) muss noch eingerichtet werden. Das erfordert etwas mehr Grips, da, sobald ich eine virtuelle NIC auf dem ciscoServerraum einrichte, ich per ACL verhindern muss, dass ein Routing in andere Netze, außer dem GlusterFS vorkommen kann.

[bau]

Ich hatte das Routing zunächst positiv vorgesehen und im Lehrernetz eingerichtet. Das führte aber dazu, dass ich den gesamten Internettraffic im Lehrernetz abgeschossen habe. Neuer Ansatz: negatives Vorgehen:

• Erlaube den Traffic von grün nach GlusterFS
• verbiete jeden weiteren Traffic von grün nach egal wo

[Rüdiger Kupper]

Replying to bau:

Wie ich geschrieben hatte:

• Zugang aus dem Lehrernetz ist FÜR ALLE Rechner (also auch den paedml) über den bereits eingetragenen Standard-Router möglich.
• Zugang aus dem pädagogischen Netz (grün) muss noch eingerichtet werden. Das erfordert etwas mehr Grips, da, sobald ich eine virtuelle NIC auf dem ciscoServerraum einrichte, ich per ACL verhindern muss, dass ein Routing in andere Netze, außer dem GlusterFS vorkommen kann.

Die Frage war, ob dort die betreffenden Ports offen sind. Ich meine mich zu erinnern, dass für den NFS-Zugriff der Clients die NFS-Ports in der Firewall der LML freigeschaltet werden mussten. Das betraf aber natürlich den Zugriff der Clients *auf* den paedml, hier greift ja erst mal der paedml auf die Glusters zu.

Wie sieht es später mit dem Direkzugriff der Clients auf die Glusters aus? Sind da auch alle Ports offen, oder sollen die eine Firewall bekommen?

[bau]

Ich habe keine Einschränkungen in das Routing eingebaut. Eine eigene Firewall haben wir auch auf den anderen Servern nicht, ich denke, das können wir uns sparen.

[Rüdiger Kupper]

Effizienter ist es wohl ohne FW.
Also können wir das Ticket schon schließen? Wird auch der Zugriff aus dem Schülernetz ohne Einschränkung klappen?

[Rüdiger Kupper]

@bau

Wird auch der Zugriff aus dem Schülernetz ohne Einschränkung klappen?
Dann bitte direkt schließen.

[bau]

Ich habe nun eingerichtet:

• auf dem ciscoServerraum:
  • VLAN-Interface VLAN7
    10.32.1.252/12
    Paket-Filter-Liste 7
    

    interface Vlan7
     ip address 10.32.1.252 255.240.0.0
     ip access-group VLAN7_in in
     ip access-group 7 out
    end
    

  • Paket-Filter-Liste 7

    Standard IP access list 7
        10 permit 10.3.0.0, wildcard bits 0.0.255.255
        20 deny   any 
    

    Damit darf aus dem grünen Netz alles ins GlusterFS geroutet werden, sonst aber nirgends hin.
    
    
  • Paket-Filter-Liste extended VLAN7_in

    Extended IP access list VLAN7_in
        10 deny tcp any 10.32.1.0 0.0.240.255 eq telnet
        20 deny tcp any 10.3.0.254 0.0.240.255 eq telnet
        30 permit ip any 10.3.0.0 0.0.255.255 
    

    Diese ACL lässt nur Traffic in das Gluster-VLAN, verhindert aber einen Login auf dem cisco selbst.

Auf den Clients muss dann eine Route in das Gluster-VLAN eingetragen werden:

ip route add 10.3.0.0/16 via 10.32.1.252

Das ergibt dann:

# ip route sh
10.3.0.0/16 via 10.32.1.252 dev eth1 

Auf den Clients im Lehrernetz muss nichts verändert werden, da diese als default-gateway sowieso über den ciscoServerraum (VLAN6: 10.16.112.126 oder VLAN62: 10.16.112.254) gehen.

[Rüdiger Kupper]

Schön! Es geht voran :-).

Replying to bau:

Auf den Clients muss dann eine Route in das Gluster-VLAN eingetragen werden:

Auf den Clients im Lehrernetz muss nichts verändert werden, da diese als default-gateway sowieso über den ciscoServerraum (VLAN6: 10.16.112.126 oder VLAN62: 10.16.112.254) gehen.

Okay, dann muss das ins postsync-Skript, wenn die Route nur auf den Schülerclients gesetzt sein soll …