Hacker-Software/docker-podman-installation-with-nginx-manager
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

firewall close: den Adminport des Proxy Managers mit anbieten

Browse Source 
Der Adminport war als "noetig" eingestuft und blieb deshalb offen,
obwohl er gerade der Port ist, der im Netz nichts verloren hat. Die
Oberflaeche ist auch ueber 127.0.0.1 zu erreichen - per Terminal-Browser
im Container oder ueber einen SSH-Tunnel -, der Port ist also kein
Pflichtport. Er wird jetzt zum Schliessen angeboten, mit dem Hinweis,
was das bedeutet; --keep-admin laesst ihn offen, und in der Oberflaeche
wird gefragt, sobald er betroffen ist.

Welcher Port es ist, kommt aus NPM_ADMIN_PORT - wer auf 10443 verlegt
hat, bekommt 10443 angeboten. Die Vorgabe 81 steht zusaetzlich immer im
Katalog: nach einem Portwechsel bliebe sie sonst offen, ohne dass sie
noch jemand nennt. Genau dieser Fall - 81 und 10443 beide offen,
konfiguriert ist 10443 - ist der Testfall.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
This commit is contained in:
duffyduck
2026-09-20 21:08:08 +02:00
co-authored by Claude Opus 5
parent 5861989289
commit 08271a04cf
3 changed files with 103 additions and 12 deletions
Download Patch File Download Diff File Expand all files Collapse all files
README.md
+23 -1
View File
@@ -2023,6 +2023,28 @@ Drei Sicherungen sind eingebaut:
| **Fremde Freigaben bleiben** | Wer 3306 für seine Datenbank offen hat, behält sie – geschlossen wird nur, was dieser Aufbau kennt |
| **Sammelregeln bleiben** | Eine Regel wie `80,443/tcp` deckt mehrere Ports ab; sie wird nicht angefasst, sondern gemeldet |
**Der Adminport des Proxy Managers wird mit angeboten.** Er ist kein
Pflichtport: die Oberfläche ist auch über `127.0.0.1` erreichbar – per
Terminal-Browser im Container oder über einen SSH-Tunnel. Offen im Netz hat sie
nichts verloren, und genau deshalb steht sie hier zur Disposition:
```
PORT GEHOERT ZU ZUSTAND
10443/tcp Adminoberflaeche des Proxy Managers kann zu - Zugang dann nur lokal
81/tcp Adminoberflaeche - alter Vorgabeport kann zu
```
Welcher Port das ist, kommt aus `NPM_ADMIN_PORT` – wer ihn auf 10443 verlegt
hat, bekommt 10443 angeboten. Die Vorgabe **81 steht zusätzlich immer im
Katalog**: nach einem Portwechsel bliebe sie sonst offen, ohne dass sie noch
jemand nennt. Soll der Adminzugang aus dem Netz erhalten bleiben:
```bash
sudo ./scripts/cmk-manage.sh firewall close --apply --keep-admin
```
In der Oberfläche wird danach gefragt, sobald ein Adminport betroffen ist.
Bei ufw wird dabei bewusst **nicht** nach Regelnummern gelöscht: die
verschieben sich beim ersten Löschen, der nächste Aufruf träfe die falsche
Regel. Stattdessen wird über die Regelangabe gelöscht
@@ -2296,7 +2318,7 @@ Eine Dateiauswahl mit Verzeichnisnavigation ist eingebaut.
| `npm-reset` | Datenbank beiseitelegen, damit das Konto neu entsteht |
| `proxy status\|list\|certs\|add\|del` | Proxy-Hosts über die API anlegen und verwalten |
| `cert …` | selbstsigniertes Zertifikat erzeugen |
| `firewall [check\|open\|close]` | prüfen, öffnen und nicht mehr Benötigtes wieder schließen (firewalld, ufw, nftables, iptables) |
| `firewall [check\|open\|close]` | prüfen, öffnen und nicht mehr Benötigtes wieder schließen (firewalld, ufw, nftables, iptables); `close --keep-admin` lässt den Adminport offen |
| `shell` | Root-Shell im Checkmk-Container |
| `omd …` | beliebiges `omd`-Kommando im Container |