ESX 3防火墙规则分析与修改

2024-03-27 03:58
文章标签 分析 规则 修改 防火墙 esx

本文主要是介绍ESX 3防火墙规则分析与修改，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

ESX 3防火墙规则分析与修改

大 家在使用ESX 3的时候很多时候都会碰到内置的防火墙会关闭掉很多端口，于是外面不能访问console，console也不能访问外面的情况。但是在vc中配置防火墙 只能配置预设的端口开关。一般大家选择的方式就是关闭其内置的防火墙，这样给console带来了很大的危险，容易出现console被黑的情况。上周正 好看到vm ware的认证文档中提到了console内的 网络部分，于是仔细研究了一下vmware的防火墙，现在把学习研究的成果和大家分享。
1、vmware防火墙核心
vmware的console就是一个linux，其使用的防火墙就是linux默认的iptables，如果大家对linux比较熟悉也可以不用 vmware自带的防火墙而改用自己熟悉的脚本。vmware的防火墙脚本是/etc/init.d/firewall，在系统启动的时候调用 firewall start，可以使用firewall stop关闭防火墙。
2、vmware防火墙脚本分析
/etc/init.d/firewall脚本是一个标准的linux启动脚本，其参数有start,stop,status,restart几个。利用文本编辑器可以看到其内部脚本是这样的
复制内容到剪贴板
代码:

case "$1" in
   start)
        action "Starting firewall" /usr/sbin/esxcfg-firewall -l
        ;;
   stop)
        action "Stopping firewall" /usr/sbin/esxcfg-firewall -u
        ;;
   status)
        /usr/sbin/esxcfg-firewall -q
        ;;
   restart)
        "$0" stop && "$0" start
        ;;
   *)
        echo "Usage: `basename "$0"` {start|stop|status|restart}"
        exit 1
esac
可以看出，其使用的核心是/usr/sbin/esxcfg-firewall，我们使用file 命令可以看到这个命令也是一个脚本
复制内容到剪贴板
代码:

[root@vmsrv7 firewall]# file /usr/sbin/esxcfg-firewall
/usr/sbin/esxcfg-firewall: a /usr/bin/perl -w script text executable
如果大家熟悉perl脚本就可以读这个程序了。这里不再详细分析此脚本，只要注意到脚本中有一个
复制内容到剪贴板
代码:
my $serviceCfgDir="/etc/vmware/firewall/";
从脚本中可以看出，防火墙的配置 文件放在/etc/vmware/firewall 下面。
到firewall下面可以看到有一个services.xml，这个就是vmware的防火墙配置文件了。
分析这个标准的xml文件可以看出，每一个规则是一个service，一个service就是这样的一个xml段
复制内容到剪贴板
代码:
<service id='0000'>
    <id>sshServer</id>
    <rule>
      <direction>inbound</direction>
      <protocol>tcp</protocol>
      <port type='dst'>22</port>
      <flags>-m state --state NEW</flags>
    </rule>
  </service>
这个xml段中id是标示service的，不能重复，其中sshServer就是在vc中看到的名字，rule中就是规则了。
direction中是出(outbound)或者入(inbound)的标示，protocol是表明tcp还是udp，port是目的端口(dst)(原端口用的比较少)。flags是其他一些iptables中选项。
3、改造和添加自己的规则
知道了vmware防火墙规则是如何定义的，我们就可以自己改造规则和添加新规则了。
比如我们希望能够改造ssh的端口为非标准的22端口，改为220端口，只要在上面的sshServer中修改22为220即可，改造完成的sshServer就是这个样子的
复制内容到剪贴板
代码:
<service id='0000'>
    <id>sshServer</id>
    <rule>
      <direction>inbound</direction>
      <protocol>tcp</protocol>
      <port type='dst'>220</port>
      <flags>-m state --state NEW</flags>
    </rule>
  </service>
当然我们也可以自己来添加新的规则，比如我们自己添加一个可以把主机的日志发送到日志机的规则。在这个规则中首先是要分析协议，syslog的协议是udp，出方向，目的端口是514，于是我们在service.xml中添加如下几行：
复制内容到剪贴板
代码:
<service id='0028'>
    <id>syslogClient</id>
    <rule>
      <direction>outbound</direction>
      <protocol>udp</protocol>
      <port type='dst'>514</port>
    </rule>
  </service>
即可。添加的时候注意<service id='0028'>中的id不能和原有的id重复。
添加完成后执行/etc/init.d/firewall restart就可以把规则生效了。
4、修改、添加规则之后的处理
修改、添加这时候我们去vc中看，你会发现刚才修改的内容在vc中没有反应。这时候就需要在console中重启相关的控制进程，执行/etc /init.d/mgmt-vmware restart，这个操作不影响现有运行的vm，这时候就会发现sshServer的端口已经变成220了，但是可能会发现刚才加的syslog的规则没 有出现。这时候就要修改/etc/vmware/esx.conf中的东西了。这个修改一定要注意，否则可能出现严重问题。在这个文件中可以找到 /firewall/services/sshClient = "1"字样，在下面手工添加一行/firewall/services/syslogClient = "1"，之后执行/etc/init.d/mgmt-vmware restart，再次刷新vc就可以看到你添加的syslog的规则了。还算是比较容易吧！
好了，其他的部分留给大家了，大家可以自行仔细研究vmware的防火墙脚本，可以发现更多的东西。

转自：http://bbs.vmware.cn/viewthread.php?tid=17513&highlight=

这篇关于ESX 3防火墙规则分析与修改的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/850857。

相关文章

性能分析之MySQL索引实战案例

性能分析之MySQL索引实战案例

文章目录 一、前言二、准备三、MySQL索引优化四、MySQL 索引知识回顾五、总结 一、前言 在上一讲性能工具之 JProfiler 简单登录案例分析实战中已经发现SQL没有建立索引问题，本文将一起从代码层去分析为什么没有建立索引？ 开源ERP项目地址：https://gitee.com/jishenghua/JSH_ERP 二、准备 打开IDEA找到登录请求资源路径位置
阅读更多...
SWAP作物生长模型安装教程、数据制备、敏感性分析、气候变化影响、R模型敏感性分析与贝叶斯优化、Fortran源代码分析、气候数据降尺度与变化影响分析

SWAP作物生长模型安装教程、数据制备、敏感性分析、气候变化影响、R模型敏感性分析与贝叶斯优化、Fortran源代码分析、气候数据降尺度与变化影响分析

查看原文>>>全流程SWAP农业模型数据制备、敏感性分析及气候变化影响实践技术应用 SWAP模型是由荷兰瓦赫宁根大学开发的先进农作物模型，它综合考虑了土壤-水分-大气以及植被间的相互作用；是一种描述作物生长过程的一种机理性作物生长模型。它不但运用Richard方程，使其能够精确的模拟土壤中水分的运动，而且耦合了WOFOST作物模型使作物的生长描述更为科学。 本文让更多的科研人员和农业工作者
阅读更多...
MOLE 2.5 分析分子通道和孔隙

MOLE 2.5 分析分子通道和孔隙

软件介绍 生物大分子通道和孔隙在生物学中发挥着重要作用，例如在分子识别和酶底物特异性方面。 我们介绍了一种名为 MOLE 2.5 的高级软件工具，该工具旨在分析分子通道和孔隙。 与其他可用软件工具的基准测试表明，MOLE 2.5 相比更快、更强大、功能更丰富。作为一项新功能，MOLE 2.5 可以估算已识别通道的物理化学性质。 软件下载 https://pan.quark.cn/s/57
阅读更多...
衡石分析平台使用手册-单机安装及启动

衡石分析平台使用手册-单机安装及启动

单机安装及启动​ 本文讲述如何在单机环境下进行 HENGSHI SENSE 安装的操作过程。 在安装前请确认网络环境，如果是隔离环境，无法连接互联网时，请先按照 离线环境安装依赖的指导进行依赖包的安装，然后按照本文的指导继续操作。如果网络环境可以连接互联网，请直接按照本文的指导进行安装。 准备工作​ 请参考安装环境文档准备安装环境。 配置用户与安装目录。 在操作前请检查您是否有 sud
阅读更多...
线性因子模型 - 独立分量分析（ICA）篇

线性因子模型 - 独立分量分析（ICA）篇

序言 线性因子模型是数据分析与机器学习中的一类重要模型，它们通过引入潜变量（ latent variables \text{latent variables} latent variables）来更好地表征数据。其中，独立分量分析（ ICA \text{ICA} ICA）作为线性因子模型的一种，以其独特的视角和广泛的应用领域而备受关注。 ICA \text{ICA} ICA旨在将观察到的复杂信号
阅读更多...
两个月冲刺软考——访问位与修改位的题型(淘汰哪一页)；内聚的类型；关于码制的知识点；地址映射的相关内容

两个月冲刺软考——访问位与修改位的题型(淘汰哪一页)；内聚的类型；关于码制的知识点；地址映射的相关内容

1.访问位与修改位的题型(淘汰哪一页) 访问位：为1时表示在内存期间被访问过，为0时表示未被访问；修改位：为1时表示该页面自从被装入内存后被修改过，为0时表示未修改过。 置换页面时，最先置换访问位和修改位为00的，其次是01(没被访问但被修改过)的，之后是10(被访问了但没被修改过)，最后是11。 2.内聚的类型 功能内聚：完成一个单一功能，各个部分协同工作，缺一不可。 顺序内聚：
阅读更多...
【软考】希尔排序算法分析

【软考】希尔排序算法分析

目录 1. c代码2. 运行截图3. 运行解析 1. c代码 #include <stdio.h>#include <stdlib.h> void shellSort(int data[], int n){// 划分的数组，例如8个数则为[4, 2, 1]int *delta;int k;// i控制delta的轮次int i;// 临时变量，换值int temp;in
阅读更多...
三相直流无刷电机(BLDC)控制算法实现：BLDC有感启动算法思路分析

三相直流无刷电机(BLDC)控制算法实现：BLDC有感启动算法思路分析

一枚从事路径规划算法、运动控制算法、BLDC/FOC电机控制算法、工控、物联网工程师，爱吃土豆。如有需要技术交流或者需要方案帮助、需求：以下为联系方式—V 方案1：通过霍尔传感器IO中断触发换相 1.1 整体执行思路 霍尔传感器U、V、W三相通过IO+EXIT中断的方式进行霍尔传感器数据的读取。将IO口配置为上升沿+下降沿中断触发的方式。当霍尔传感器信号发生发生信号的变化就会触发中断在中断
阅读更多...
如何在运行时修改serialVersionUID

如何在运行时修改serialVersionUID

优质博文：IT-BLOG-CN 问题 我正在使用第三方库连接到外部系统，一切运行正常，但突然出现序列化错误 java.io.InvalidClassException: com.essbase.api.base.EssException; local class incompatible: stream classdesc serialVersionUID = 90314637791991
阅读更多...
kubelet组件的启动流程源码分析

kubelet组件的启动流程源码分析

概述 摘要: 本文将总结kubelet的作用以及原理，在有一定基础认识的前提下，通过阅读kubelet源码，对kubelet组件的启动流程进行分析。 正文 kubelet的作用 这里对kubelet的作用做一个简单总结。 节点管理 节点的注册 节点状态更新 容器管理(pod生命周期管理) 监听apiserver的容器事件 容器的创建、删除(CRI) 容器的网络的创建与删除
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2