Ubuntu / RabbitMQ में EPMD सुनने वाले पोर्ट (4369) को बंद करें

Question

मैं RabbitMQ के एक इंस्टॉलेशन को सुरक्षित करने की कोशिश कर रहा हूं, और मुझे यकीन नहीं है कि एर्लांग ईपीएमडी पोर्ट को कैसे सुरक्षित किया जाए। मेरे पास केवल एक मशीन कुछ भी चल रही है, इसलिए मैं इसे केवल लूपबैक डिवाइस पर सुनना चाहता हूं। प्रति डॉक्स , मैं जोड़ दिया है:

ERL_EPMD_ADDRESS=127.0.0.1

करने के लिए /etc/rabbitmq/rabbitmq-env.confहै, लेकिन यह कोई प्रभाव नहीं है, के रूप में बंदरगाह अभी भी पता चलता में खोलने के nmapकिसी दूरस्थ सिस्टम से।

क्या इस बंदरगाह को बंद करने का कोई तरीका है जिसका मैं उपयोग नहीं करूंगा?

Comments

एरिक और पैरिश डॉलर बनाना?

— 18

Answer 1

यह पोर्ट पहले से सुरक्षित है। इस पोर्ट तक पहुंच एक कुकी द्वारा नियंत्रित की जाती है, जो मूल रूप से एक डेवलपर कुंजी है जो इस विशेष सर्वर के लिए अद्वितीय है और स्थापित समय पर बनाई गई है। यह शायद /var/lib/rabbitmq/.erlang.cookie में स्थित है, हालांकि डिस्ट्रो के लिए उस स्थान को बदलना संभव है। आप ध्यान देंगे कि कुकी फ़ाइल केवल रूट द्वारा पठनीय है।

यदि एक दूरस्थ नोड (एक अन्य सर्वर) या एक स्थानीय नोड (इस सर्वर पर एक और एरलैंग उदाहरण) अपने RabbitMQ सर्वर के साथ संवाद करना चाहता है, तो उन्हें EPMD के माध्यम से संचार करते समय कुकी को प्रस्तुत करना होगा या अनुरोधों को अनदेखा किया जाएगा।

यदि आप RabbitMQ सर्वोत्तम प्रथाओं का पालन कर रहे हैं, तो आपके पास RabbitMQ अपने स्वयं के सर्वर पर चल रहा होगा, और दो या तीन अन्य RabbitMQ सर्वर होंगे जो इसके साथ जुड़े हुए हैं। इस संदर्भ में "संकुल" का अर्थ है एक ही कुकी को साझा करना और एक ही EPMD पोर्ट के माध्यम से संचार करना। इस पोर्ट को ब्लॉक करना बुरी बात है।

हालांकि, आम तौर पर क्लस्टर के चारों ओर एक परिधि होना एक अच्छी बात है, जिसे एक फ़ायरवॉल द्वारा प्रबंधित किया जाता है ताकि EPMD पोर्ट का उपयोग केवल परिधि के अंदर से किया जा सके। इसका तात्पर्य यह है कि अवरुद्ध एक फ़ायरवॉल डिवाइस, या एक फ़ायरवॉल या एक EC2 फ़ायरवॉल या इसी तरह के रूप में कार्य करने वाले सर्वर पर है।

Comments

मुझे बस उस चीज़ से नफरत है जो सुनती है 0.0.0.0।

— लिम्बो पेंग

नहीं, पोर्ट सिर्फ उतना ही सुरक्षित है जितना कि ऑर्टिकल / कुकी-मैनेजमेंट कोड। जो कुछ के लिए निकला ... मुद्दे: सुरक्षा

— traer.debian.org/tracker/CVE-2018-1279

"इस [ईपीएमडी] को रोकना एक बुरी बात है" ... सचमुच? यदि आप एक क्लस्टर में RabbitMQ का उपयोग करने का इरादा नहीं रखते हैं, तो उस पोर्ट को ब्लॉक करना गलत बात नहीं है। आम तौर पर, सार्वजनिक पोर्ट पर कुछ भी चलाने के लिए जिसकी आपको आवश्यकता नहीं है, एक बुरी बात है।

— VOG