Как правильно настроить сеть локального LEMP сервера?

Question

[at0m1x]

Имеется:
Базовая ОС: Linux Mint 18.1
Гостевая ОС: Debian GNU/Linux 8.7 (jessie) - установлена на VirtualBox

Требуется:

• гостевая ОС должна быть в качестве локального сервера для разработки на PHP (веб-сервер: NGINX);
  
• гостевая ОС должна иметь доступ в интернет, для скачивания пакетов например;
  
• из основной ОС должен быть доступ по статическому IP в гостевую ОС, что бы открывать сайты распологающиеся на гостевой ОС, подключатся по SSH, и к MySQL серверу;
  
• доступ из интернета в гостевую ОС должен быть запрещен, т.е. из-вне не должны иметь возможность подключится по SSH, MySQL серверу или просто открыть сайт который лежит на локальном сервере;
  

Действия по настройке:
1. Установка VirtualBox на основную ОС.
2. Установка Debian на виртуальную машину в VirtualBox.
3. Настройка сети для виртуалки.
4. Установка PHP, NGINX, MySQL.
5. Разрешить подключаться MySQL root пользователю из основной ОС.

В итоге, настройка сети в VirtualBox:
(DHCP Server - галка не стоит, т.е. отключен)
Настройки сети в гостевой ОС:

root@dev:~# ifconfig -a
eth0      Link encap:Ethernet  HWaddr 08:00:27:e1:f4:73  
          inet addr:10.0.2.15  Bcast:10.0.2.255  Mask:255.255.255.0
          inet6 addr: fe80::a00:27ff:fee1:f473/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:40 errors:0 dropped:0 overruns:0 frame:0
          TX packets:50 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:5353 (5.2 KiB)  TX bytes:16423 (16.0 KiB)

eth1      Link encap:Ethernet  HWaddr 08:00:27:95:2b:a4  
          inet addr:192.168.56.10  Bcast:192.168.56.255  Mask:255.255.255.0
          inet6 addr: fe80::a00:27ff:fe95:2ba4/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1457 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1064 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:137550 (134.3 KiB)  TX bytes:207150 (202.2 KiB)

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:0 (0.0 B)  TX bytes:0 (0.0 B)

Для того что бы подключатся к MySQL серверу из основной ОС были сделаны такие настройки:

В файле /etc/mysql/my.cnf
bind-address = 192.168.56.10

Далее в консоле:
$ mysql -u root
GRANT ALL ON *.* TO 'root'@'%';
exit;

$ sudo service mysql restart

После всех вышеописанных действий доступ по SSH из основной ОС в гостевую работает:
$ ssh root@192.168.56.10

Подключение к MySQL серверу из основной ОС тоже работает по IP 192.168.56.10.

Если в хостах основной ОС прописать в /etc/hosts какойто сайт настроенный на гостевой ОС, то в основной ОС, в браузере, он тоже открывается.

Т.е. в итоге все работает как требовалось. Но хотелось убедиться, правильно ли все было настроено в плане сетевых настроек. И что не маловажно, нет ли при таких настройках доступа к локальному серверу из внешнего интернета?

Answer 1

[ТыжСисАдмин]

В данной задаче, в настройке сети "налажать" просто невозможно - оно или работает или нет.

На предмет безопасности, теоретически попасть из гостевой системы в хостовую возможно, но это как правило уже из разряда уязвимостей самой системы виртуализации.

Если вас интересует возможность именно в "сетевом" плане то все ваши опасения развеет настройка firewall :)

Пользуйтесь и не парьтесь и главное не пробрасывайте ненужные порты на роутере на статический адресс виртуальной машины.

Comments

[at0m1x]

На предмет безопасности, теоретически попасть из гостевой системы в хостовую возможно, но это как правило уже из разряда уязвимостей самой системы виртуализации.

Возможно вы не так поняли :) Вопрос в том, возможно ли попасть вообще стороннему человеку, откудато удаленно, через интернет в мой локальный сервер (в гостевую ОС)?

[at0m1x]

Порты на роутере на статический адресс виртуальной машины пробрасывать не планирую :) Т.к. навреное тогда через эти порты, по моему внешнему ИП роутера доступ в гостевую ОС как раз таки будет, что мне не нужно.

[Stalker_RED]

at0m1x:

возможно ли попасть вообще стороннему человеку, откудато удаленно, через интернет в мой локальный сервер (в гостевую ОС)?

да, если вы дадите ему доступ (откроете/пробросите порты) или если он ломанет хост систему.

[ТыжСисАдмин]

Собственно Stalker_RED всё ответил.