สมมติว่าฉันมีเซิร์ฟเวอร์ที่มีส่วนต่อประสานส่วนตัวและส่วนต่อประสานสาธารณะ สาธารณะอาจมีสิ่งต่าง ๆ เช่นเซิร์ฟเวอร์ HTTP (S) ส่วนตัวอาจมี MySQL และ SSH
เห็นได้ชัดว่า Nagios มีประโยชน์ในการตรวจสอบว่าบริการกำลังทำงานอยู่บนอินเตอร์เฟสที่เกี่ยวข้อง แต่เป็นความคิดที่ดีหรือไม่ที่จะสร้างการตรวจสอบที่ทดสอบอย่างชัดเจนว่าพอร์ต MySQL และ SSH ไม่ได้เปิดอยู่ในส่วนต่อประสานสาธารณะ แนวคิดคือการตรวจจับการกำหนดค่าผิดพลาดโดยไม่ได้ตั้งใจซึ่งเปิดบริการที่ควรเป็นแบบส่วนตัวและแจ้งเตือนอย่างเหมาะสม
ส่วนหนึ่งของฉันมีความคิดที่ว่าสิ่งนี้จะไม่ขยายขนาดอย่างมาก - ลองจินตนาการว่ามีกฎ DROP iptables ตัวอย่างเช่นการตรวจสอบจะต้องรอจนกว่าการตรวจสอบการหมดเวลาเกินกว่าจะเสร็จสมบูรณ์และดำเนินต่อไป แต่การหมดเวลานั้นจะต้องสูงพอที่จะสามารถแยกความแตกต่างของบริการที่ถูกบล็อกจากบริการเปิดที่จมลง
นี่เป็นแนวคิดที่ใช้ได้จริงหรือไม่? Nagios เป็นเครื่องมือที่ใช่หรือไม่? ฉันยังไม่ได้ดูถึงความเป็นไปได้ของการคัดค้านผลจากปลั๊กอินตรวจสอบ TCP แต่ฉันแน่ใจว่ามันเป็นไปได้ ...
DROPไม่ใช่เป้าหมายที่เหมาะสมสำหรับวัตถุประสงค์ดังกล่าวการใช้-j REJECT --reject-with tcp-resetจะช่วยแก้ปัญหานั้นโดยเฉพาะ ให้ฉันเสียงคำถามของคุณเช่นเดียวกับอีกเหตุผลหนึ่งในการใช้งานมากกว่าREJECTDROP