CentOs8 Firewall: Externen Zugriff auf Docker unterbinden

[Michael R]

Hallo zusammen!

Seit 3 Tagen beisse ich mir die Zähne an einem Thema aus: Ich möchte nicht, dass auf den OTOBO-Container über das Web zugegriffen wird.

#docker-compose ps:
Name Command State Ports
-------------------------------------------------------------------
...
otobo_web_1 /opt/otobo_install/entrypo ... Up 0.0.0.0:980->5000/tcp

#netstat -tulpen
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name
tcp 0 0 0.0.0.0:980 0.0.0.0:* LISTEN 0 49210 3884/docker-proxy

In der .env-Datei ist OTOBO_WEB_HTTP_PORT=980 gesetzt. Bisher alles OK.

CentOs8 mit firewalld im Einsatz.

Ich habe alle möglichen Rules in der Firewall ausprobiert aber ich bekomme es nicht hin, den Zugriff aus dem Web zu unterbinden. Ich hätte gerne, dass nur per (open)VPN mit der Serveradresse 192.168.10.1 („listen“) auf OTOBO zugegriffen werden kann. Irgendwie scheinen die Zugriffe auf Docker an der Firewall vorbeizugehen.

Beim Starten der Firewall bekomme ich übrigens folgende Warnungen:

Feb 25 00:57:38 vus01002 firewalld[750]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -F DOCKER' failed: iptables: No chain/target/match by that name.
Feb 25 00:57:38 vus01002 firewalld[750]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -X DOCKER' failed: iptables: No chain/target/match by that name.
...

Es ist mir klar, dass es nicht unbedingt ein OTOBO-Problem ist. Aber vielleicht hat jemand von Euch mehr Ahnung als ich und kann mir spontan einen Tip geben; oder vielleicht gibt es eine Möglichkeit in OTOBO, den Zugriff auf bestimmte IPs oder Netzwerkschnittstellen zu beschränken.

Ganz lieben Dank für Eure Hilfe!

Michael

[Michael R]

Hallo zusammen.

Ich habe die Datei /opt/otobo-docker/docker-compose/otobo-override-http.yml angepasst:

services:
web:
ports:
- "192.168.10.1:${OTOBO_WEB_HTTP_PORT:-80}:5000"

Damit scheint es zu laufen.

Vielleicht könnte man das über die .env-Datei konfigurierbar machen, z.B. über eine Variable OTOBO_WEB_IP, welche standardmässig auf 0.0.0.0 gesetzt ist.

Viele Grüsse,
Michael

[bes]

Hallo Michael,

super, dass es noch geklappt hat. Ich habe für den Vorschlag ein Issue, https://github.com/RotherOSS/otobo-docker/issues/47, angelegt. Mal sehen ob es noch in OTOBO 10.0.10 rein kommt.

 

Viele Grüße,

Bernhard

 

[Michael R]

Hallo Bernhard,

vielen Dank!

Michael

[Author]

Posts