适用场景

• 产品：ZCF
• 组件：Cloud
• 版本：4.8.x、4.5.x
• 部署形态：双管理节点
• 触发条件：为满足漏扫整改要求，需要对多组敏感端口做访问限制。

问题现象

• 环境中多个常见服务端口对外暴露。
• 需要将这些端口限制为仅集群内访问。
• 其中 22 和 5000 还需允许指定 PC 访问。

判断方法

1. 变更前确认云平台环境和资源连接状态正常。
2. 变更后检查 iptables -nvL -t mangle 与 ipset list 中规则和白名单是否正确。
3. 检查平台和业务无异常。

原因说明

本次属于漏扫安全加固场景，因此需要通过防火墙策略限制多个敏感端口对外暴露，并对部分端口保留白名单访问能力。

解决方案

1. 执行前准备

• 风险等级：低风险
• 先登录云平台检查环境正常。
• 先关闭高可用，并在两个管理节点做数据库备份。
• 准备 safe_script_4.5.x.tar.gz。

2. 待限制端口

• 3306
• 9090
• 9091
• 9100
• 10010
• 8888
• 8081
• 8080
• 7070
• 5000
• 5900-5909
• 111
• 25
• 123
• 22

3. 处理步骤
4. 在两个管理节点备份数据库：

   zstack-ctl dump_mysql --file-name zstack-db-backup-master
   zstack-ctl dump_mysql --file-name zstack-db-backup-slave

• 预期结果：数据库备份完成。

2. 解压脚本并执行：

   tar zxvf safe_script_v4.5.tar.gz
   cd safe_script/
   bash safe.sh

• 预期结果：进入脚本化端口加固流程。

3. 输入管理节点 admin 密码。

• 预期结果：具备下发规则权限。

4. 在脚本中选择：

• 3：限制物理机端口
• 1：配置规则
• 预期结果：进入端口限制规则配置。

5. 输入待限制端口：

   3306,9090,9091,9100,10010,8888,8081,8080,7070,5000,5900-5909,111,25,123,22

• 其中 22、5000 需要配置指定 PC 白名单访问。
• 预期结果：端口限制规则下发完成。

6. 输入放行 IP。

• 脚本会自动识别集群主机 IP。
• 也可手工指定多个放行 IP。
• 预期结果：集群内访问与白名单 PC 访问被正确放通。

7. 检查规则是否生效：

   iptables -nvL -t mangle
   ipset list ZS-XXXX

• 预期结果：规则和放行 IP 集正确生效。

8. 检查环境正常后，重新打开全局高可用。

• 预期结果：平台恢复正常运行。

验证方法

• 检查 iptables 规则已下发。
• 检查 ipset 白名单包含正确的集群 IP 和指定 PC IP。
• 检查云平台资源状态和业务连接正常。

风险与回滚

• 风险：若白名单 IP 配置错误，可能影响 SSH、管理入口或其他关键服务访问。
• 风险等级：低。
• 回滚步骤：

  bash safe.sh

然后选择：

• 3 限制物理端口
• 2 还原规则配置