☰

Как сделать некоторые TCP-порты доступными только для внутреннего использования?

tag-icon • tag-icon server python proxy nginx
Как сделать некоторые TCP-порты доступными только для внутреннего использования?

Я запускаю четыре экземпляра приложения Tornado на портах 9000 - 9003. Я использую Nginx в качестве балансировщика нагрузки на фронте. Однако пользователь также может получить доступ к этим портам, например, mysite:9000 также доступен.

так как мне отключить внешний доступ и сделать его доступным только для nginx?

Вот мое /etc/nginx/nginx.confсодержимое:

user nginx;
worker_processes 5;

error_log /var/log/nginx/error.log;

pid /var/run/nginx.pid;

events {
    worker_connections 1024;
    use epoll; 
}

http{

    proxy_next_upstream error;

    upstream tornadoes { 
        server 127.0.0.1:9000;
        server 127.0.0.1:9001;
        server 127.0.0.1:9002;
        server 127.0.0.1:9003;
    }

    include /etc/nginx/mime.types;
    default_type application/octet-stream;  

    access_log /var/log/nginx/access.log;

    keepalive_timeout 65;
    proxy_read_timeout 200;
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    gzip on;
    gzip_min_length 1000;
    gzip_proxied any;
    gzip_types text/plain text/html text/css text/xml application/x-javascript application/xml application/atom+xml text/javascript;


    server { 
        listen 80;
        server_name example.in www.example.in;

        location /static/ {
            root /home/magneto/torapp; 
            if ($query_string) {
                expires max; 
            }
        }
        location / {
            proxy_pass_header Server; 
            proxy_set_header Host $http_host; 
            proxy_redirect off;
            proxy_set_header X-Real-IP $remote_addr; 
            proxy_set_header X-Scheme $scheme; 
            proxy_pass http://tornadoes;
        } 
    }
}

решение1

Это то, что вы не можете выполнить. Если вы решите общаться по TCP между nginx и вашим приложением, localhost всегда сможет получить доступ к портам — именно так это и делает nginx.

Вы можете перенастроить его на использование сокетов, но это необходимо сделать, так как ваше приложение является обратным прокси-сервером для nginx.

Связанный контент