esx 4.1防火墙策略修改

    最近在对 esx和 esxi做安全加固,需要修改 esx的防火墙的配置,对一些管理端口做源地址限制。esxi5.1限原地址已经可以通过 vcenter 对这些进行操作了,不怕麻烦的,就进图形界面一个个的点,怕麻烦的,也可以使用 powercli 进行指修改。但是同样的方法,对 esx4.1就不能用了。

     esx4.1其实是个完整的 linux 系统,对系统稍有了解的我,自然的想到ssh 方式进到操作系统里看看有没有什么办法。结果还真有,同样是 iptables,我就轻车熟路的修改了 iptables 的配置文件/etc/sysconfig/iptables(事实上我对系统的东西仅到这此为止),保存,重启 iptables,和我想要的结果一致,安全复检一下,没有问题了。一切都是那么美好,美中不足的是我不会写 shell 脚本,批量修改这个。

    过了几天,安全复检的结果出来了,又报了一大堆问题,我修改的好象完全没有效果了!怎么可能呢?我登陆到那些设备,发现 iptables 的规则又恢复到默认值,不知道的还以为我啥也没干呢?后来我问了同事做了什么操作没有?他说集群HA状态有问题,他重置了一下集群 的 HA。难道集群HA重置还会修改防火墙策略?我试着改了一下防火墙配置,又重新初始化了一下集群HA,果然,策略又恢复成默认的了。看来 esx 的防火墙策略不是保存在/etc/ssyconfig/iptables 里。

  后来到 vmware 的官网上去查了一下,vmware的官方知识库里的解释请点这里。确实说明了,使用 iptables 配置的策略会随着集群 HA 重置而重置成使用 esxcfg-firewall 命令配置的结果。

  看来我得使用 esxcfg-firewall 了,

esxcfg-firewall --ipruleAdd x.x.x.x/x,443,tcp,ACCEPT,vmwareclient

   使用上面的命令的格式,其中最后的 vmwareclient 是我写的名字,不是命令的关键字,你可以根据自己的需求写。

   配置完策略后,可以直接生效,使用 iptables -nL 也能查看到变化,再次重置了一下集群的 HA,新配置的策略还在。但我没有找到这个命令找策略保存在哪个配置文件里。

 

  后续:

  esx 4.1将 防火墙策略保存在/etc/vmware/firewall/chains目录下,该目录下有四个文件,default.xml和 custon.xml, usercustom.xml, userdefault.xml。其中不带 user 前缀的是系统生成的,带 user 前缀的文件优先级更高,可以更改文件内容实惠这个功能,但是我照猫画虎的加了几个策略,都没生效。而且使用 esxcfg-firewall 命令配置的策略也没有在这几个配置文件里找到。

  如果可以,还是使用 esxi5以后的吧,可以通过 powercli 批量更改。

                                                     

        

你可能感兴趣的:(防火墙,esx,加固)