Ограничение подключений с помощью фильтрации IP-адресов

Вы можете применять фильтрацию IP-адресов к клиентам приложений, клиентам узлов, или клиентам транспортного протокола, клиентам удаленных кластеров, а также к другим узлам, пытающимся присоединиться к кластеру.

Если IP-адрес узла находится в списке запрещённых, функции безопасности Elasticsearch позволяют подключиться к Elasticsearch, но соединение будет немедленно прервано, и запросы не будут обработаны.

Функции безопасности Elasticsearch содержат функцию управления доступом, которая позволяет или отклоняет хосты, домены или подсети. Если функция прав оператора включена, только пользователи-операторы могут обновлять эти настройки.

Вы настраиваете фильтрацию IP-адресов, указав настройки xpack.security.transport.filter.allow и xpack.security.transport.filter.deny в elasticsearch.yml. Правила разрешения имеют приоритет над правилами запрещения.

xpack.security.transport.filter.allow: "192.168.0.1"
xpack.security.transport.filter.deny: "192.168.0.0/24"

Ключевое слово _all может использоваться для запрещения всех подключений, которые не разрешены явно.

xpack.security.transport.filter.allow: [ "192.168.0.1", "192.168.0.2", "192.168.0.3", "192.168.0.4" ]
xpack.security.transport.filter.deny: _all

Настройка фильтрации IP-адресов также поддерживает IPv6-адреса.

xpack.security.transport.filter.allow: "2001:0db8:1234::/48"
xpack.security.transport.filter.deny: "1234:0db8:85a3:0000:0000:8a2e:0370:7334"

Вы также можете фильтровать по именам хостов, когда доступны DNS-запросы.

xpack.security.transport.filter.allow: localhost
xpack.security.transport.filter.deny: '*.google.com'

Отключение фильтрации IP-адресов может незначительно улучшить производительность в некоторых условиях. Чтобы полностью отключить фильтрацию IP-адресов, установите значение настройки xpack.security.transport.filter.enabled в файле конфигурации elasticsearch.yml на значение false.

xpack.security.transport.filter.enabled: false

Вы также можете отключить фильтрацию IP-адресов для транспортного протокола, но включить её только для HTTP.

xpack.security.transport.filter.enabled: false
xpack.security.http.filter.enabled: true

Профили транспортного протокола TCP позволяют Elasticsearch привязываться к нескольким хостам. Функции безопасности Elasticsearch позволяют применять различные настройки фильтрации IP-адресов к различным профилям.

xpack.security.transport.filter.allow: 172.16.0.0/24
xpack.security.transport.filter.deny: _all
transport.profiles.client.xpack.security.filter.allow: 192.168.0.0/24
transport.profiles.client.xpack.security.filter.deny: _all

Вы можете захотеть иметь различную фильтрацию IP-адресов для транспортного и HTTP протоколов.

xpack.security.transport.filter.allow: localhost
xpack.security.transport.filter.deny: '*.google.com'
xpack.security.http.filter.allow: 172.16.0.0/16
xpack.security.http.filter.deny: _all

Если другие кластеры подключаются с использованием аутентификации по API-ключу для межкластерного поиска или межкластерной репликации, вы можете захотеть иметь различную фильтрацию IP-адресов для интерфейса сервера удаленного кластера.

xpack.security.remote_cluster.filter.allow: 192.168.1.0/8
xpack.security.remote_cluster.filter.deny: 192.168.0.0/16
xpack.security.transport.filter.allow: localhost
xpack.security.transport.filter.deny: '*.google.com'
xpack.security.http.filter.allow: 172.16.0.0/16
xpack.security.http.filter.deny: _all

В случае работы в среде с динамическими IP-адресами, например, облачных хостингах, сложно определить IP-адреса заранее при развертывании машины. Вместо изменения файла конфигурации и перезапуска узла, вы можете использовать API Cluster Update Settings. Например:

resp = client.cluster.put_settings(
    persistent={
        "xpack.security.transport.filter.allow": "172.16.0.0/24"
    },
)
print(resp)

response = client.cluster.put_settings(
  body: {
    persistent: {
      'xpack.security.transport.filter.allow' => '172.16.0.0/24'
    }
  }
)
puts response

const response = await client.cluster.putSettings({
  persistent: {
    "xpack.security.transport.filter.allow": "172.16.0.0/24",
  },
});
console.log(response);

PUT /_cluster/settings
{
  "persistent" : {
    "xpack.security.transport.filter.allow" : "172.16.0.0/24"
  }
}

Вы также можете динамически отключить фильтрацию полностью:

resp = client.cluster.put_settings(
    persistent={
        "xpack.security.transport.filter.enabled": False
    },
)
print(resp)

response = client.cluster.put_settings(
  body: {
    persistent: {
      'xpack.security.transport.filter.enabled' => false
    }
  }
)
puts response

const response = await client.cluster.putSettings({
  persistent: {
    "xpack.security.transport.filter.enabled": false,
  },
});
console.log(response);

PUT /_cluster/settings
{
  "persistent" : {
    "xpack.security.transport.filter.enabled" : false
  }
}