Networking 20/80, уровень 5: Firewall и сетевая безопасность

Пакет приходит
      │
      ▼
┌─────────────┐
│  PREROUTING │  ← DNAT (подменить dst IP)
└──────┬──────┘
       │
  ┌────▼────┐   Для этого хоста?
  │ Routing │───── Нет ──→ FORWARD → POSTROUTING → наружу
  └────┬────┘                  (транзит: хост как роутер)
       │ Да
       ▼
┌──────────────┐
│    INPUT     │  ← фильтрация входящего трафика
└──────┬───────┘
       │
   [Приложение]
       │
       ▼
┌──────────────┐
│    OUTPUT    │  ← фильтрация исходящего трафика
└──────┬───────┘
       ▼
┌──────────────┐
│ POSTROUTING  │  ← SNAT/MASQUERADE (подменить src IP)
└──────────────┘

# Показать все правила:
sudo iptables -L -n -v --line-numbers
# -L = list, -n = числовые адреса, -v = verbose, --line-numbers = номера

# Показать NAT-правила:
sudo iptables -t nat -L -n -v

# Разрешить ответы на уже установленные соединения – СТАВИТЬ ПЕРВЫМ
# (большинство пакетов попадёт сюда и не будет проверять правила ниже):
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# (-m state --state ESTABLISHED,RELATED – устаревший синоним, всё ещё работает)

# Разрешить SSH (порт 22):
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Разрешить HTTP/HTTPS:
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Заблокировать всё остальное (доходят только новые входящие, не покрытые выше):
sudo iptables -A INPUT -j DROP

# Удалить правило по номеру:
sudo iptables -D INPUT 3

# Сбросить все правила:
sudo iptables -F

# ПРАВИЛА ПРОВЕРЯЮТСЯ СВЕРХУ ВНИЗ, ПЕРВОЕ СОВПАДЕНИЕ ПОБЕЖДАЕТ

# Правильно:
iptables -A INPUT -p tcp --dport 22 -j ACCEPT     # 1. SSH – ОК
iptables -A INPUT -p tcp --dport 80 -j ACCEPT     # 2. HTTP – ОК
iptables -A INPUT -j DROP                          # 3. Всё остальное – DROP

# Неправильно (заблокирует ВСЁ, включая SSH):
iptables -A INPUT -j DROP                          # 1. DROP всё ← !!! SSH тоже
iptables -A INPUT -p tcp --dport 22 -j ACCEPT     # 2. Никогда не достигнется

# DROP – молча отбросить пакет:
iptables -A INPUT -p tcp --dport 8080 -j DROP
# Клиент: "Connection timed out" (ждёт 30+ секунд)
# Атакующий: не знает, есть ли хост

# REJECT – отправить RST/ICMP:
iptables -A INPUT -p tcp --dport 8080 -j REJECT
# Клиент: "Connection refused" (мгновенно)
# Атакующий: знает, что хост жив

# Рекомендация:
# - Внешний firewall (internet-facing): DROP (не раскрывать информацию)
# - Внутренний firewall (между сервисами): REJECT (быстрая диагностика)

По умолчанию в K8s: ЛЮБОЙ pod может общаться с ЛЮБЫМ pod-ом.
Это как офис без дверей – удобно, но небезопасно.

# Разрешить трафик к api ТОЛЬКО от frontend (namespace=prod):
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: api-allow-frontend
  namespace: prod
spec:
  podSelector:
    matchLabels:
      app: api                  # применяется к pod-ам с label app=api
  policyTypes:
    - Ingress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: frontend     # разрешить от frontend
      ports:
        - protocol: TCP
          port: 8080

# 1. Deny all ingress (потом разрешать явно):
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-ingress
  namespace: prod
spec:
  podSelector: {}               # все pod-ы в namespace
  policyTypes:
    - Ingress                   # блокировать входящий
  # ingress: [] – пустой список = ничего не разрешено

---
# 2. Egress ТОЛЬКО на DNS. ВНИМАНИЕ: в одиночку эта политика отрежет ВЕСЬ
#    остальной исходящий трафик у выбранных pod-ов. Применять в паре с
#    default-deny-egress как "дырку" для DNS (иначе pod-ы не резолвят имена):
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-dns
  namespace: prod
spec:
  podSelector: {}
  policyTypes:
    - Egress
  egress:
    - to: []
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53

---
# 3. Разрешить трафик из monitoring namespace:
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-prometheus-scrape
  namespace: prod
spec:
  podSelector: {}
  policyTypes:
    - Ingress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: monitoring
      ports:
        - protocol: TCP
          port: 9090

# 1. Проверить, есть ли подключение БЕЗ firewall:
nc -zv target-host 8080
# timeout → firewall DROP или хост недоступен
# refused → порт не слушает (firewall не при чём)

# 2. Проверить iptables INPUT:
sudo iptables -L INPUT -n -v --line-numbers | grep 8080
# Если нет правила ACCEPT для порта → заблокировано

# 3. Проверить K8s NetworkPolicy:
kubectl get networkpolicy -n prod
kubectl describe networkpolicy api-allow-frontend -n prod

# 4. Снять блокировку для диагностики (ТОЛЬКО временно, ОПАСНО в production!):
sudo iptables -F INPUT           # сбросить ВСЕ правила цепочки INPUT
# Осторожно: "iptables -P INPUT ACCEPT" меняет лишь политику по умолчанию и НЕ
# поможет, если трафик режется явным правилом "-j DROP" (оно сработает раньше)

# 5. Логировать отбрасываемые пакеты. LOG не терминальный, поэтому пару
#    "LOG, затем DROP" добавляют в КОНЕЦ цепочки – LOG обязан идти ПЕРЕД DROP,
#    иначе пакет отбросится раньше, чем залогируется:
sudo iptables -A INPUT -j LOG --log-prefix "DROPPED: " --log-level 4
sudo iptables -A INPUT -j DROP
# Логи: dmesg | grep DROPPED

# Добавили deny-all → pod не может:
# - резолвить DNS (нет egress на UDP 53)
# - ходить к другим сервисам (нет egress rules)
# - получать health check от kubelet (нет ingress от node)