資訊專欄INFORMATION COLUMN
摘要：通常情況下，防火墻規(guī)則是立即生效的。在這種場景，防火墻生效最多需要兩分鐘。防火墻未立即生效的補救措施防火墻未立即生效的補救措施如上面所提到的場景，其端口為。
請確認(rèn)以下2點: (1) 防火墻規(guī)則已經(jīng)應(yīng)用到該臺主機 (2) 主機內(nèi)部iptables已經(jīng)關(guān)閉. 端口是否打開可以通過nc命令查看,例如 nc -nv 10.3.1.2 22， 若端口已打開而服務(wù)不可用，請檢查服務(wù)是否正常運行。
還有一種造成無法訪問的情況是，ISP運營商由于高危端口等原因而主動封禁了某些端口，例如445端口。 目前從運營商處反饋的端口封鎖列表有：
TCP：42,135,137,138,139,445,593,1025,1068,1434,3127,3130,3332,4444,5554,6669,9996,12345,31337,54321
UDP：135,445,593,1026,1027,1068,1434,4444,5554,9996
請確認(rèn)以下兩點: (1) 防火墻規(guī)則已經(jīng)允許icmp，并應(yīng)用到主機 (2) 主機內(nèi)部iptables已經(jīng)關(guān)閉
源IP寫: 0.0.0.0/0
如果能獲得惡意用戶的訪問IP，可以在主機防火墻中添加一條包含該源IP的阻止(Drop)規(guī)則
支持，網(wǎng)絡(luò)ACL可實現(xiàn)子網(wǎng)級別的安全隔離。
UCloud的內(nèi)網(wǎng)使用了軟件定義網(wǎng)絡(luò)（SDN）技術(shù)，以此來實現(xiàn)不同用戶主機間的內(nèi)網(wǎng)隔離
用戶在使用防火墻的時候，有時會遇到修改后規(guī)則不生效的問題。這個原因是因為tcp長連接導(dǎo)致的。
通常情況下，防火墻規(guī)則是立即生效的。但某些場景下，防火墻場景并不會立即生效。
以Nginx為例，Nginx會在觸發(fā)keepalive_timeout（默認(rèn)為65秒）之后，發(fā)送FIN包，讓nf_conntrack_tcp_timeout_established不再起作用，轉(zhuǎn)而觸發(fā)nf_conntrack_tcp_timeout_time_wait的規(guī)則，而它的默認(rèn)規(guī)則為120秒。
在這種場景，防火墻生效最多需要兩分鐘。
而對于類似于MySQL的長連接場景，由于nf_conntrack_tcp_timeout_established這個系統(tǒng)內(nèi)核及參數(shù)設(shè)置其默認(rèn)的失效時間為5天，這種場景一旦連接建立，通過修改防火墻的方式很難立即阻斷連接。
防火墻未立即生效的補救措施：如上面所提到的MySQL場景，其端口為3306。假設(shè)為了能夠阻斷來自于1.2.3.4的連接，可以在云主機中使用iptables的"RAW"表進行處理。
iptables -t raw -I PREROUTING -s 1.2.3.4 -p tcp -m tcp --dport 3306 -j DROP該方法之所以能夠生效，是因為Linux系統(tǒng)的Netfilter中，在PREROUTING以及OUTPUT這兩個HOOK的conntrack之前，安插了一個優(yōu)先級更高的RAW表。通過RAW表，就可以分離出不需要被conntrack的流量了。
防火墻不會阻斷已建立的連接，所以不受防火墻影響
文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請注明本文地址：http://www.ezyhdfw.cn/yun/127047.html
摘要：防火墻默認(rèn)規(guī)則除已開通端口外，其他端口默認(rèn)關(guān)閉。注意外網(wǎng)防火墻僅對來自外網(wǎng)的彈性的訪問生效。協(xié)議目前防火墻協(xié)議支持及協(xié)議。動作防火墻生效時，對數(shù)據(jù)包的處理行為，包含接受拒絕兩種動作。注意防火墻至少需要保留一條規(guī)則，因為全選時刪除按鈕不可用。 使用指南推薦防火墻為了給用戶提供使用上的便捷，控制臺上提供了兩個默認(rèn)的推薦防火墻，分別是Web服務(wù)器推薦與非Web服務(wù)器推薦，兩者之間除Web服務(wù)器推薦...
摘要：概覽概覽外網(wǎng)彈性產(chǎn)品簡介操作指南共享帶寬產(chǎn)品簡介操作指南帶寬包產(chǎn)品簡介操作指南防火墻產(chǎn)品簡介操作指南轉(zhuǎn)換功能產(chǎn)品簡介原理架構(gòu)操作指南產(chǎn)品價格計費總覽流量價格帶寬價格帶寬后付費價格共享帶寬價格地址價格帶寬包價格轉(zhuǎn)換價格計費說明資源過期回收故 概覽外網(wǎng)彈性IP產(chǎn)品簡介操作指南共享帶寬產(chǎn)品簡介操作指南帶寬包 產(chǎn)品簡介操作指南防火墻產(chǎn)品簡介操作指南IPv6轉(zhuǎn)換功能產(chǎn)品簡介原理架構(gòu)操作指南產(chǎn)品價格EI...
摘要：云主機管理外網(wǎng)彈性主機的外網(wǎng)帶寬，外網(wǎng)信息，集中在關(guān)聯(lián)產(chǎn)品外網(wǎng)彈性中管理。云主機可綁定多個，并設(shè)置出口。云主機外網(wǎng)訪問配置因架構(gòu)原因，大數(shù)據(jù)機型無法通過進行外網(wǎng)訪問。云主機UHost：管理外網(wǎng)彈性IP主機的外網(wǎng)帶寬，外網(wǎng)IP信息，集中在關(guān)聯(lián)產(chǎn)品——外網(wǎng)彈性IP（EIP）中管理。云主機可綁定多個EIP，并設(shè)置出口。此外，此處也可修改EIP帶寬。修改EIP帶寬無需重啟，立即生效。備注：彈性IP是...
摘要：除此之外，還可以在全部產(chǎn)品基礎(chǔ)網(wǎng)絡(luò)彈性頁面，點擊申請按鈕進行申請。對于彈性的帶寬，用戶可以根據(jù)需求任意升降級，并可以在不停止服務(wù)的情況下實時生效，實現(xiàn)網(wǎng)絡(luò)的彈性。 操作指南本篇目錄申請彈性IP綁定/解綁外網(wǎng)彈性IP調(diào)整IP帶寬設(shè)置主機主動對外訪問出口釋放彈性IP更改彈性IP計費方式申請彈性IP通常在申請云主機（UHost）或負(fù)載均衡（ULB）時，同時會申請一個外網(wǎng)彈性IP，并將該IP與所申請...
摘要：操作指南操作指南操作指南本篇目錄創(chuàng)建共享帶寬創(chuàng)建共享帶寬刪除共享帶寬刪除共享帶寬調(diào)整共享帶寬值調(diào)整共享帶寬值創(chuàng)建共享帶寬創(chuàng)建共享帶寬創(chuàng)建共享帶寬在產(chǎn)品與服務(wù)下的基礎(chǔ)網(wǎng)絡(luò)中，選擇共享帶寬標(biāo)簽，進入共享帶寬管理頁面。 操作指南本篇目錄創(chuàng)建共享帶寬刪除共享帶寬調(diào)整共享帶寬值創(chuàng)建共享帶寬1) 在 產(chǎn)品與服務(wù) 下的 基礎(chǔ)網(wǎng)絡(luò)UNet 中，選擇 共享帶寬 標(biāo)簽，進入共享帶寬管理頁面。點擊創(chuàng)建共享帶寬 按...
閱讀 1581·2025-02-07 13:29
閱讀 1004·2024-11-07 18:25
閱讀 131497·2024-02-01 10:43
閱讀 1349·2024-01-31 14:58
閱讀 1146·2024-01-31 14:54
閱讀 83572·2024-01-29 17:11
閱讀 3870·2024-01-25 14:55
閱讀 2391·2023-06-02 13:36
