Задача

Есть Web-сервер на IIS, обслуживающий клиентские запросы во внутренней подсети.

Стала задача предоставления части услуг, обеспечиваемых этим web-сервером, внешним пользователям через интернет.

Однако было необходимо, чтобы внешние пользователи могли получить доступ только к ограниченному (заданному) списку адресов URL.

Учитывая большое количество других ресурсов, обслуживаемых нашим сервером IIS, а также факт доступа к этому серверу команды разработчиков, да и в целом это не отдельный сервер, а кластер NLB с несколькими узлами (что заставило бы править разрешения на всех узлах каждый раз, при необходимости что-либо добавить или поменять) было принято решение не заморачиваться с правами web.config (дабы исключить дальнейшую потенциальную угрозу безопасности) и развернуть отдельный Linux сервер и настроить на нем обратный веб-прокси-сервер средствами Nginx.

Ссылки, необходимые для выставления наружу:

http://10.0.0.2/arcgis/rest/services/gis_ort_stat_general/MapServer

http://10.0.0.2/arcgis/rest/services/dug_multi/MapServer

Установка и настройка Nginx

[]# yum -y install net-tools bind-utils telnet wget tree mlocate vim gcc cifs-utils samba-client tcpdump zip unzip whois openssh-clients screen bash-completion # Изначально я установил и обновил CentOS 7 Linux в сборке Minimal, поэтому ставлю базовые утилиты, которые могут понадобиться для работы

[]# yum -y install epel-release # Устанавливаем репозиторий EPEL

[]# sed -i -r 's/^enabled=1/enabled=0/g' /etc/yum.repos.d/epel.repo # Лично я не люблю когда дополнительные репозитории включены по умолчанию, поэтому исправляем в конфиге epel значение enabled на 0

[]# yum -y --enablerepo=epel install htop saidar # Устанавливаем базовые утилиты из репозитория Epel

[]# yum -y --enablerepo=epel install nginx # Устанавливаем веб-сервер Nginx

[]# firewall-cmd --permanent --zone=public --add-service=http # Открываем 80 порт в брандмауэре для Public зоны
success

[]# firewall-cmd --permanent --zone=public --add-service=https # Открываем 443 порт в брандмауэре для Public зоны
success

[]# firewall-cmd --reload # Заставляем брандмауэр применить конфигурацию
success

[]# vim /etc/nginx/nginx.conf # С корректировками заменяем конфиг на следующий
worker_processes 5;

events {
        worker_connections 1024;
}

http {
        server {
                listen 80;
                server_name external.domain.com www.external.domain.com;
                location /arcgis/rest/services/gis_ort_stat_general/MapServer {
                        proxy_cache                             off;
                        proxy_set_header x-real-IP              $remote_addr;
                        proxy_set_header Host                   $http_host;
                        proxy_set_header X-Forwarded-For        $proxy_add_x_forwarded_for;
                        proxy_pass                              http://10.0.0.2/arcgis/rest/services/gis_ort_stat_general/MapServer;
                }

                location /arcgis/rest/services/dug_multi/MapServer {
                        proxy_cache                             off;
                        proxy_set_header x-real-IP              $remote_addr;
                        proxy_set_header Host                   $http_host;
                        proxy_set_header X-Forwarded-For        $proxy_add_x_forwarded_for;
                        proxy_pass                              http://10.0.0.2/arcgis/rest/services/dug_multi/MapServer;
                }
        }
}

[]# nginx -t # Проверяем конфиг на ошибки
nginх: the configuration filе /etc/nginх/nginх.conf syntax is ok
nginх: configuration filе /etc/nginх/nginх.conf tеst is successful

[]# systemctl enable nginx # Включаем nginх в автозагрузку

[]# reboot # Перезагружаем систему

[]# systemctl status nginx # Проверяем работу после перезагрузки
nginх.sеrvice - The nginх HTTP and reverse proxy server
   Loaded: loaded (/usr/lib/systemd/system/nginх.sеrvice; enabled)
   Active: active (running) since Fri 2015-07-03 12:02:43 EEST; 7s ago
   {Output ommited}...

При доступе с клиента (браузера) к настроенному web-reverse-proxy обратите внимание на правильно сконфигурированный DNS

Установка и настройка fail2ban для защиты SSH от bruteforce атак по перебору паролей

[]# wget https://dl.fedoraproject.org/pub/epel/7/x86_64/e/epel-release-7-2.noarch.rpm # Скачаем пакет установки дополнительного репозитория EPEL. Естественно этого делать не нужно если репозиторий EPEL у нас уже установлен

[]# yum install epel-release-7-2.noarch.rpm # Установим репозиторий

[]# vim /etc/yum.repos.d/epel.repo # Лично я не люблю когда дополнительные репозитории включены по умолчанию, поэтому исправляем значение enabled на 0.
[epel]
name=Extra Packages fоr Enterprise Linux 7 - $basearch
#baseurl=http://download.fedoraproject.org/pub/epel/7/$basearch
mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-7&arch=$basearch
failovermethod=priority
enabled=0
gpgcheck=1
gpgkey=filе:///etc/pki/rрm-gpg/RPM-GPG-KEY-EPEL-7


[]# yum --enablerepo=epel install -y fail2ban

# []# yum install -y ipset # Нужен если мы не планируем использовать iptables


[]# cd /etc/fail2ban/ # Переходим в директорию с конфигами

[]# cp jail.conf jail.local # Копируем дефоултный конфиг в тот, что впоследствии будем редактировать

[]# vim jail.local # Меняем некоторые настройки конфига под себя, если это необходимо
bantime = 600 # время в секундах, на которое будет забанен провинившийся. Если выставить значение -1 то бан будет вечный
findtime = 600 # если в течение этого времени будет обнаружен предельный порог попыток maxretry, то выполнить бан
maxretry = 5 # предельный порог неверных попыток


[]# cd /etc/fail2ban/jail.d/

[]# touch sshd.local # Создаем файл, в котором будут настройки мониторинга SSH/SFTP

[]# vim sshd.local
[sshd]
enabled = true
#action = firewallcmd-ipset
action = iptables


[]# systemctl enable fail2ban.service # Включаем сервис в автозагрузку

[]# systemctl start fail2ban.service # Стартуем сервис

Наблюдение за работой

[]# tail -f /var/log/fail2ban.log # Смотрим текущие события в логе

[]# fail2ban-client status sshd # Узнать забаненные IP

[]# cat /var/log/fail2ban.log | grep Ban # Посмотреть забаненные IP способ №2.
2014-11-03 11:47:44,480 fail2ban.server.actions[20250]: NOTICE  [sshd] Ban 192.168.1.5

[]# iptables -L f2b-default -n -v # Узнать забаненные IP с помощью фаервола iptables

[]# fail2ban-client set sshd unbanip 192.168.1.5 # Вручную разбанить IP