Ahoj všem,
začínám si hrát se svým novým VPS.
Hledám někoho, kdo by mi pomohl nastavit firewall. Po prvních pokusech se
mi zdá, že na to sám nestačím. Za pomoc rád zaplatím.
Můj cíl:
- Mám VPS s ubuntu 22.04.
- Budu používat docker pro deployment jednotlivých aplikací (služeb).
- Chci používat ZeroTier jako VPN.
- Chci nastavit firewall tak, aby do internetu byly otevřené jen porty 22
(SSH), a 443. Případně 80, který by přesměrovával na 443.
- Dále chci, aby skrz ZeroTier VPN fungovaly všechny služby, tj firewall by
měl propouštět skrz ZeroTier veškerou komunikaci.
Moje první kroky vedly k ufw. Bohužel jsem ale zjistil, že ufw v kombinaci
s dockerem nefunguje správně
<https://docs.docker.com/network/packet-filtering-firewalls/#docker-and-ufw>.
Nevím, jakou alternativu k ufw zvolit. Manuální editace iptables i
firewalld jsou pro mě komplikované.
Díky za nabídku pomoci nebo třeba i za odkaz na nějaký dobrý tutorial.
S pozdravem
Vašek
Ahoj,
mám na VM nixos-unstable, po poslední aktualizaci mi nenaběhne
nix-serve (VM 16201). V žurnálu je chyba:
nix-serve.service: Failed to set up credentials: Protocol error
nix-serve.service: Failed at step CREDENTIALS spawning /nix/store/g5jgqgf01gsiya5im563952qlbk21028-unit-script-nix-serve-start/bin/nix-serve-start: Protocol error
Neřešil jste to někdo?
---
V konfiguraci nic zvláštního nemám, secrets nahrávám pomocí `sops-nix`:
services.nix-serve = {
enable = true;
secretKeyFile = config.sops.secrets.cache-sig-key.path;
};
V `nix-serve.service` je
DynamicUser=true
LoadCredential=NIX_SECRET_KEY_FILE:/run/secrets/cache-sig-key
Problém je zřejmě s právy, pokud příkaz v `ExecStart` spustím jako root,
nix-serve naběhne. Vlastníkem klíče je root:
-r-------- 1 root root 102 1. lis 11.25 /run/secrets/cache-sig-key
Předpokládám, že to rozbila aktualizace systemd, ve verzi 253
to projde, ve verzi 254 (254.3) už ne. V měsíc staré, ještě
neaktualizované VM to běží, se stejnou konfigurací a právy. Našel jsem
https://github.com/NixOS/nixpkgs/issues/157449 a Zkoušel jsem nastavit
`rshared` pro `/run`, beze změny.
Zkouším, jestli už na to někdo nenarazil, než začnu zkoumat, jak to celé
funguje pod pokličkou.
—
Tomáš Kuča
