iptables ресурс

[править на GitHub]

Используйте iptables аудит ресурс Chef InSpec для проверки правил, определённых в iptables, который содержит таблицы правил фильтрации IP-пакетов. Таблиц может быть несколько. Каждая таблица содержит одну (или несколько) цепочек (как встроенные, так и пользовательские). Цепочка — это список правил, которые сопоставляют пакеты. Когда правило совпадает, правило определяет целевое назначение пакета.

Доступность

Установка

Этот ресурс распространяется вместе с самим Chef InSpec. Вы можете использовать его автоматически.

Версия

Этот ресурс впервые стал доступен в версии v1.0.0 InSpec.

Синтаксис

Блок ресурса iptables объявляет тесты для правил в таблицах IP:

describe iptables(rule:'name', table:'name', chain: 'name') do
  it { should have_rule('RULE') }
end

где

• iptables() может указать любую комбинацию rule, table, или chain
• rule:'name' — имя правила, которое сопоставляет набор пакетов
• table:'name' — таблица сопоставления пакетов, на которой выполняется тест
• chain: 'name' — имя пользовательской цепочки или одна из ACCEPT, DROP, QUEUE, или RETURN
• have_rule('RULE') проверяет правило в списке iptables. Оно должно совпадать с целой строкой, взятой из iptables -S CHAIN.

Примеры

Следующие примеры демонстрируют использование этого аудита ресурса Chef InSpec.

Проверка, что цепочка INPUT находится в режиме по умолчанию ACCEPT

describe iptables do
  it { should have_rule('-P INPUT ACCEPT') }
end

Проверка, что цепочка INPUT из таблицы mangle находится в режиме ACCEPT

describe iptables(table:'mangle', chain: 'INPUT') do
  it { should have_rule('-P INPUT ACCEPT') }
end

Проверка, что есть правило, разрешающее трафик Postgres (5432/TCP)

describe iptables do
  it { should have_rule('-A INPUT -p tcp -m tcp -m multiport --dports 5432 -m comment --comment "postgres" -j ACCEPT') }
end

Обратите внимание, что спецификация правила должна точно соответствовать выводу iptables -S INPUT, который будет зависеть от того, как вы настроили свои правила.

Сопоставители

Полный список доступных сопоставителей см. на нашей странице сопоставителей.

have_rule

Сопоставитель have_rule проверяет указанное правило по информации в файле iptables:

it { should have_rule('RULE') }