ip6tables ресурс

[править на GitHub]

Используйте ресурс аудита Chef InSpec, чтобы проверить правила, определённые в ip6tables, который поддерживает таблицы правил фильтрации IP-пакетов для IPv6. Таблиц может быть несколько. Каждая таблица содержит одну (или несколько) цепочек (встроенные и пользовательские). Цепочка — это список правил, которые сопоставляются с пакетами. Когда правило сопоставляется, оно определяет, какой целевой объект назначить пакету.

Доступность

Установка

Этот ресурс распространяется вместе с самим Chef InSpec. Вы можете использовать его автоматически.

Версия

Этот ресурс стал доступен в версии InSpec v4.6.9.

Синтаксис

Блок ресурса ip6tables объявляет тесты для правил в таблицах IP:

describe ip6tables(rule:'name', table:'name', chain: 'name') do
  it { should have_rule('RULE') }
end

где

• ip6tables() может указать любое сочетание rule, table, или chain
• rule:'name' — имя правила, которое сопоставляет набор пакетов
• table:'name' — таблица сопоставления пакетов, с которой выполняется тест
• chain: 'name' — имя пользовательской цепочки или одна из ACCEPT, DROP, QUEUE, или RETURN
• have_rule('RULE') — тестирует правило в списке ip6tables. Оно должно точно совпадать со всей строкой из ip6tables -S CHAIN.

Примеры

Следующие примеры показывают, как использовать этот ресурс аудита Chef InSpec.

Проверка, находится ли цепочка INPUT в режиме по умолчанию ACCEPT

describe ip6tables do
  it { should have_rule('-P INPUT ACCEPT') }
end

Проверка, находится ли цепочка INPUT из таблицы mangle в режиме ACCEPT

describe ip6tables(table:'mangle', chain: 'INPUT') do
  it { should have_rule('-P INPUT ACCEPT') }
end

Проверка наличия правила, разрешающего трафик Postgres (5432/TCP)

describe ip6tables do
  it { should have_rule('-A INPUT -p tcp -m tcp -m multiport --dports 5432 -m comment --comment "postgres" -j ACCEPT') }
end

Обратите внимание, что спецификация правила должна точно соответствовать выводу ip6tables -S INPUT, который будет зависеть от того, как вы построили свои правила.

Сопоставители

Полный список доступных сопоставителей вы найдёте на нашей странице сопоставителей.

have_rule

Сопоставитель have_rule проверяет указанное правило против информации в файле ip6tables:

it { should have_rule('RULE') }