Networking 20/80, уровень 5: Firewall и сетевая безопасность

Пакет приходит
      │
      ▼
┌─────────────┐
│  PREROUTING │  ← DNAT (подменить dst IP)
└──────┬──────┘
       │
  ┌────▼────┐   Для этого хоста?
  │ Routing │───── Нет ──→ FORWARD → POSTROUTING → наружу
  └────┬────┘                  (транзит: хост как роутер)
       │ Да
       ▼
┌──────────────┐
│    INPUT     │  ← фильтрация входящего трафика
└──────┬───────┘
       │
   [Приложение]
       │
       ▼
┌──────────────┐
│    OUTPUT    │  ← фильтрация исходящего трафика
└──────┬───────┘
       ▼
┌──────────────┐
│ POSTROUTING  │  ← SNAT/MASQUERADE (подменить src IP)
└──────────────┘

# Показать все правила:
sudo iptables -L -n -v --line-numbers
# -L = list, -n = числовые адреса, -v = verbose, --line-numbers = номера

# Показать NAT-правила:
sudo iptables -t nat -L -n -v

# Ответы на уже установленные соединения – СТАВИТЬ ПЕРВЫМ
# (большинство пакетов попадёт сюда, правила ниже не проверяются):
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# (-m state --state ... – устаревший синоним, всё ещё работает)

# Разрешить SSH (порт 22):
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Разрешить HTTP/HTTPS:
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Заблокировать всё остальное (доходят только новые входящие, не покрытые выше):
sudo iptables -A INPUT -j DROP

# Удалить правило по номеру:
sudo iptables -D INPUT 3

# Сбросить все правила:
sudo iptables -F

# Сохранить правила (по умолчанию они живут только в памяти ядра):
sudo iptables-save > /etc/iptables/rules.v4     # netfilter-persistent грузит их при boot
sudo iptables-restore < /etc/iptables/rules.v4  # восстановить вручную

# ПРАВИЛА ПРОВЕРЯЮТСЯ СВЕРХУ ВНИЗ, ПЕРВОЕ СОВПАДЕНИЕ ПОБЕЖДАЕТ

# Правильно:
iptables -A INPUT -p tcp --dport 22 -j ACCEPT     # 1. SSH – ОК
iptables -A INPUT -p tcp --dport 80 -j ACCEPT     # 2. HTTP – ОК
iptables -A INPUT -j DROP                          # 3. Всё остальное – DROP

# Неправильно (заблокирует ВСЁ, включая SSH):
iptables -A INPUT -j DROP                          # 1. DROP всё ← !!! SSH тоже
iptables -A INPUT -p tcp --dport 22 -j ACCEPT     # 2. Никогда не достигнется

# DROP – молча отбросить пакет:
iptables -A INPUT -p tcp --dport 8080 -j DROP
# Клиент: "Connection timed out" (ждёт 30+ секунд)
# Атакующий: не знает, есть ли хост

# REJECT – отправить RST/ICMP:
iptables -A INPUT -p tcp --dport 8080 -j REJECT
# Клиент: "Connection refused" (мгновенно)
# Атакующий: знает, что хост жив

# Рекомендация:
# - Внешний firewall (internet-facing): DROP (не раскрывать информацию)
# - Внутренний firewall (между сервисами): REJECT (быстрая диагностика)

По умолчанию в K8s: ЛЮБОЙ pod может общаться с ЛЮБЫМ pod-ом.
Это как офис без дверей – удобно, но небезопасно.

# Разрешить трафик к api ТОЛЬКО от frontend (namespace=prod):
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: api-allow-frontend
  namespace: prod
spec:
  podSelector:
    matchLabels:
      app: api                  # применяется к pod-ам с label app=api
  policyTypes:
    - Ingress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: frontend     # разрешить от frontend
      ports:
        - protocol: TCP
          port: 8080

# 1. Deny all ingress (потом разрешать явно):
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-ingress
  namespace: prod
spec:
  podSelector: {}               # все pod-ы в namespace
  policyTypes:
    - Ingress                   # блокировать входящий
  # ingress: [] – пустой список = ничего не разрешено

---
# 2. Egress ТОЛЬКО на DNS. ВНИМАНИЕ: в одиночку эта политика отрежет ВЕСЬ
#    остальной исходящий трафик. Ставить как "дырку" для DNS в паре
#    с default-deny-egress (иначе pod-ы не резолвят имена):
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-dns
  namespace: prod
spec:
  podSelector: {}
  policyTypes:
    - Egress
  egress:
    - to: []
      ports:
        - protocol: UDP
          port: 53
        - protocol: TCP
          port: 53

---
# 3. Разрешить трафик из monitoring namespace:
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-prometheus-scrape
  namespace: prod
spec:
  podSelector: {}
  policyTypes:
    - Ingress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: monitoring
      ports:
        - protocol: TCP
          port: 9090

# 1. Проверить, есть ли подключение БЕЗ firewall:
nc -zv target-host 8080
# timeout → firewall DROP или хост недоступен; refused → порт не слушает
# (что значит timeout/refused по сути – разбирали в уровне 3)

# 2. Проверить iptables INPUT:
sudo iptables -L INPUT -n -v --line-numbers | grep 8080
# Если нет правила ACCEPT для порта → заблокировано

# 3. Проверить K8s NetworkPolicy:
kubectl get networkpolicy -n prod
kubectl describe networkpolicy api-allow-frontend -n prod

# 4. Снять блокировку для диагностики (ТОЛЬКО временно, ОПАСНО в production!):
sudo iptables -F INPUT           # сбросить ВСЕ правила цепочки INPUT
# "iptables -P INPUT ACCEPT" меняет лишь политику и НЕ поможет,
# если трафик режется явным правилом "-j DROP" (оно сработает раньше)

# 5. Логировать отбрасываемые пакеты. LOG не терминальный, поэтому
#    LOG обязан идти ПЕРЕД DROP – иначе пакет отбросится до записи в лог:
sudo iptables -A INPUT -j LOG --log-prefix "DROPPED: " --log-level 4
sudo iptables -A INPUT -j DROP
# Логи: dmesg | grep DROPPED

# Добавили deny-all → pod не может:
# - резолвить DNS (нет egress на UDP 53)
# - ходить к другим сервисам (нет egress rules)
# - получать health check от kubelet (нет ingress от node)

iptables -P INPUT DROP                          # политика по умолчанию – блокировать
iptables -A INPUT -p tcp --dport 22 -j ACCEPT   # разрешили SSH
iptables -F INPUT                               # ← убрали ACCEPT; остался DROP-policy → SSH отвалился