Muss ich für jeden Port, auf den Gitlab hört, eine Regel hinzufügen?

Question

Muss ich für jeden Port, auf den Gitlab hört, eine Regel hinzufügen?

Ich habe einen Gitlab-Server, der eine virtuelle Ubuntu 18.04-Maschine auf VMware Esxi ist. Ich wollte die Firewall auf diesem Computer aktivieren, zu diesem Zweck habe ich gufw installiert. Die Sache ist, dass ich beim Ausführen des Befehls sudo netstat -ntpl | grep LISTEN eine Reihe von Ports sehen kann, die abhören. Eine Reihe von Ports hören wegen Gitlab. Zum Beispiel lauscht der Gitlab Exporter auf Port 9168, und es gibt auch andere.

Siehe eine vollständige Liste der Gitlab-Ports.

Wenn Ich schalten Sie die Firewall mit gufw ein, muss ich eingehende Regeln nur für 80 (HTTP) und 22 (SSH) hinzufügen? Oder muss ich für verschiedene Ports für verschiedene Komponenten öffnen, die im obigen Link erwähnt werden?

Es ist eine sehr einfache Gitlab-Serverinstallation, deren Zweck nur die Versionskontrolle ist. Ich brauche keine erweiterten Funktionen wie CI/CD usw.

0

linux port ubuntu firewall gitlab

Author: TRiG, 2019-11-29

Source

1 answers

score 1 · Accepted Answer

Wenn Sie den Server in der Produktion hosten und dem öffentlichen Internet gegenüberstehen, sollten Sie standardmäßig nur den Zugriff auf die folgenden Ports von außen zulassen:

80/443: Webzugriff über HTTP (https://gitlab.example.com/)
22: Git-Zugriff über SSH ([email protected]/…)

Die meisten anderen Ports* werden GitLab-intern benötigt, damit Dienste untereinander kommunizieren können. Zum Beispiel das Abfragen der Datenbank oder das Senden von Metriken an Prometheus, das für die interne Leistung verwendet wird Monitoring. Diese sollten jedoch nicht von außen zugänglich sein und – wenn ich mich nicht irre-ohnehin nur an den localhost gebunden sein, sodass Sie auch ohne Einrichtung einer Firewall nicht von außen darauf zugreifen können.

_{* Die Containerregistrierung kann beispielsweise an einen anderen Port gebunden werden, sodass Sie mit demselben Hostnamen darauf zugreifen können, z. B. gitlab.example.com:5050, anstatt einen anderen Pfad zu benötigen.}