grafana 未授权访问漏洞设置iptables指定IP访问，拒绝其他所有IP

qq13267029402025-12-17 9:04

1、查询规则

bash 复制代码

iptables -L --line-numbers
iptables -t raw -L PREROUTING --line-numbers

2、非集群部署（主机）时，设置INPUT规则时就能生效

bash 复制代码

-- 允许指定IP访问
iptables -A INPUT -s IP值 -p tcp --dport gfafana端口号 -j ACCEPT

-- 拒绝其他所有IP访问
iptables -A INPUT -p tcp --dport gfafana端口号 -j REJECT --reject-with icmp-port-unreachable

3、当grafana在k8s集群里部署时，设置上面的INPUT规则无效，可能是INPUT规则对k8s不生效

需设置raw的PREROUTING规则

bash 复制代码

-- 允许指定IP访问
iptables -t raw -A PREROUTING -p tcp -s IP值 --dport gfafana端口号 -j ACCEPT

-- 拒绝其他所有IP访问
iptables -t raw -A PREROUTING -p tcp --dport gfafana端口号 -j DROP

4、删除规则

bash 复制代码

-- 删除INPUT规则
iptables -D INPUT 规则id

-- 删除raw规则
iptables -t raw -D PREROUTING 规则id

这个规则id就是查询规则查出来的num列值