Чем настраивать ACL на серверах Linux?

Question

[igortru]

Привет.

Инфраструктура порядка 500 серверов, в 95% Debian 12. VM находятся в разных средах, облака, гипервизоры proxmox, vmware. Задача - запустить и обеспечить работы пакетного фильтра на серверах. ACL на основе групп, при помещении хоста в группу появляются разрешающие правила на INPUT. Скорее всего nftables. Рулить security groups в разных средах не хочется. Ставка была на saltslack но поигравшись обнаружил что допустим правила разрешающие ICMP не приходят на vm, хотя apply рапортует что всё ок.
Вот правило, руки посте такого опустились, толи сырой, толи я что-то непонимаю.

allow_icmp:
nftables.append:
- table: filter
- family: inet
- chain: corp
- proto: icmp type { echo-request, echo-reply }
- jump: accept
- require:
- nftables: create_chain_corp

ansbile да такого количества хостов - медлителен хотя похоже единственный пока вариант, puppet монж но в контуре пока его нет, надо изучать.

Посоветуйте решения?

Comments

[smilingcheater]

Не могу прокомментировать ваш основной вопрос, но могу сказать про Ansible - для быстрой параллельной обработки большого количества хостов поднимите количество форков и возможно стоит включить stragegy: free.
https://docs.ansible.com/ansible/latest/playbook_g...

[VoidVolker]

В качестве альтернативы медленному Ansible можно посмотреть в сторону бесплатного Rudder Core - там под капотом скала, раст и си, а ядром всей системы работает сишный CFEngine. Известны сети под управлением этого движка на миллион машин. Единственный существенный минус Rudder - не самый интуитивно понятный интерфейс. В остальном - отличнейшее и шустрое решение.

Answer 1

[ky0]

Ansible с параллельным mitogen даже на таком количестве хостов нормален.