Voici le fonctionnement actuel :

autorisation¶

Autoriser un port (XXX) pour un service (YYY)

        <service_access service='YYY'>
            <port>XXX</port>
        </service_access>

Avec tcpwrapper :

<tcpwrapper>YYY</tcpwrapper>

Port avec variable (ZZZ):

<port port_type="SymLinkOption">ZZZ</port>

List (WWW) pour port/tcpwrapper

<port service_accesslist="WWW">XXX</port>
<tcpwrapper service_accesslist="WWW">YYY</tcpwrapper>

restriction¶

Si on ne définit que les service_accesses, le port est ouvert pour tout le monde sur toutes les interfaces.

Pour ajouter des restrictions il faut ajouter :

    <service_restriction  service='YYY'>
        <ip interface='eth0'>1.1.1.1</ip>
    <:service_restriction>

Dans ce cas, seul l'IP 1.1.1.1 peut accéder à ce service.

Il est possible d'utiliser des variables :

<ip interface='auto' ip_type='SymLinkOption'>variable</ip>

Et un netmask :

<ip interface='eth0' netmask="255.255.255.0" ip_type='SymLinkOption'>variable</ip>
<ip interface='eth1' netmask="variable_netmask" netmask_type='SymlinkOption' ip_type='SymLinkOption'>variable</ip>

interface peut être : ethX, all (pour toutes les interfaces), auto (calcule l'interface via la route) ou une variable (avec l'ajout de interface_type="SymlinkOption").

Il est aussi possible de mettre service_restrictionlist au balise IP.

particularités¶

les doublons¶

S'il y a plusieurs règles sur une interface/port, c'est la dernière règle qui est appliqué (par exemple 20_apache.xml redirige le port 80 dans le conteneur, 25_nginx.xml ouvert le port 80, c'est l'ouverture du port qui est fait).

l'activation des règles¶

Si le nom du service du service correspond à un balise service connu dans le conteneur, les requires du service sont appliqués aux accès/restrictions. Il n'est pas possible de les remettre.

Si l'IP est une variable et que la variable n'existe pas (ou est disabled) la règle ne s'applique pas.

De la même façon un port/tcpwrapper avec une variable qui n'existe pas, il n'y a pas non plus de règle à faire.

Dans la balise "port" il est également possible de spécifier le protocole (par défaut c'est TCP).

Par exemple :

            <service_access service='ntp'>
                <port protocol='udp'>123</port>
            </service_access>

Ajouté ici /2_4/commun/02_miseEnOeuvre/07_personnalisation/02_dicos/02-fichiers.scen