В гипервизоре ESXi имеется встроенный Firewall. В нём предустановлен ряд правил, удовлетворяющих разработанному функционалу. Однако, имеющиеся правила не всегда покрывают все необходимые порты, иногда требуется дополнительный функционал.
Понадобилось мне отправлять почту с ESXi...
Создание собственных правил
Процесс создания собственных правил описан здесь:
https://kb.vmware.com/s/article/2008226
Начиная с ESXi 7.0 создавать собственные наборы правил Firewall запретили. При этом предложили обходной способ:
- Скопировать файл с правилами на отдельный datastore.
- Добавить свои изменения в скопированный файл.
- В /etc/rc.local.d/local.sh добавить команду на копирование с заменой основного файла.
- Чтобы принудительно сохранить эту команду при перезагрузках хоста, команда должна быть добавлена вручную в /etc/rc.local.d/local.sh файл на сервере ESXi.
Это настолько кривое решение, что даже пробовать его не хочется. Тем более нужно отдельное хранилище.
Альтернатива — создание собственного VIB пакета для внесения изменений в Firewall.
VIB пакет для ESXi 7.0 firewall
Создадим собственный VIB пакет для нового правила Firewall. Для сборки нам понадобится пакет:
ESXi Community Packaging Tools 2.4
Добавлять будем правило для исходящей почты:
- Исходящее на TCP 25
Создаём TGZ файл
Создаём структуру каталогов, она очень простая, потому как нам нужно добавить всего один файл. У меня это будет /etc/vmware/firewall/fw-mail.xml.
Редактируем:
<!-- Firewall configuration information for fw Mail -->
<ConfigRoot>
<service id='0000'>
<id>Mail</id>
<rule id='0000'>
<direction>outbound</direction>
<protocol>tcp</protocol>
<porttype>dst</porttype>
<port>25</port>
</rule>
<enabled>false</enabled>
<required>false</required>
</service>
</ConfigRoot>
Структуру XML можно посмотреть в ESXi. Идентификаторы сервисов должны быть уникальными.
Засовываем проект в Linux, это необходимо для правильной настройки прав доступа к файлам. Я воспользуюсь WSL2 для Windows, только мне придётся скопировать проект в home, т.к. по умолчанию права на все файлы примонтированного диска C:\ — 777. Назначаем созданному XML файлу права 444:
chmod 444 ./etc/vmware/firewall/fw-mail.xml
Переходим в корневую папку проекта и собираем TGZ архив:
tar cvzf ../fw-mail.tgz *
TGZ файл получен. Дальше с ним буду работать из Windows.
Создаём VIB файл с помощью tgz2vib5.cmd
Переходим к ESXi Community Packaging Tools 2.4.
Чтобы создать файл VIB из нашего файла TGZ, запускаем tgz2vib5.cmd.
Скармливаем утилите наш TGZ файл, указываем рабочую директорию. Заполняем все поля, не забываем указать версию, VIB type — bootbank. Очень удобно, что имеется готовый пресет для firewall, который за нас проставит нужные галки. Acceptance Level для правила firewall достаточно указать "community". Run!
VIB пакет собрался.
Создаём ZIP файл Offline Bundle с помощью tgz2vib5.cmd
В принципе, достаточно и VIB файла. Но я собираюсь с вами поделиться готовым пакетом, поэтому соберу Offline Bundle.
Чтобы создать Offline Bundle из нашего файла VIB, запускаем vib2zip.cmd:
Указываем директорий с файлом VIB, рабочую директорию. Заполняем поля, устанавливаем максимальный уровень совместимости. Run!
Offline Bundle собрался.
Установка Offline Bundle
Для тестирования перевожу хост в Maintenance Mode.
Копируем ZIP пакет на хост в папку /tmp.
Запускаем службу SSH на хосте, коннектимся. Проверяем содержимое папки tmp.
ZIP файл присутствует. Разрешаем установку программ и драйверов со сторонними сертификатами. Для этого перед установкой выполняем команду:
esxcli software acceptance set --level=CommunitySupported
Устанавливаем пакет:
esxcli software vib install -d /tmp/fw-mail-1.0-1-offline_bundle.zip
Пакет установлен. В списке установленных VIB пакетов имеется наш новый пакет.
esxcli software vib list | grep mail
Наш XML файл появился в папке /etc/vmware/firewall.
Теперь правило firewall никуда не должно пропасть после перезагрузки хоста. Проверяю — перезагружаю службу firewall.
esxcli network firewall refresh
esxcli network firewall ruleset list | grep Mail
Networking → Firewall rules. У нас появилось новое правило:
Включаем его.
Actions → Enable.
Мы добились того, чего хотели.
А зачем оно?
Собственно, пакет я назвал fw-mail. Скачать его можно в Сборке для VMware. Пакет добавляет правило firewall, которое позволяет отправлять уведомления на внешний почтовый сервер.
