Filebeat与Debian防火墙协同工作指南
一、通信路径与端口梳理
- 常见输出目标与端口
- 直连 Elasticsearch：默认端口 9200/TCP（推荐启用 TLS/SSL 与认证）。
- 发送至 Logstash：默认端口 5044/TCP（明文或 TLS 均可，按实际配置）。
- 方向性说明
- Filebeat 作为客户端主动外发数据，通常只需对目标端口做“出站允许”。
- Elasticsearch/Logstash 一般不需要反向连接 Filebeat，除非启用了特殊的采集或回调机制。
- 防火墙工具
- Debian 常用 UFW；也可能需要直接操作 iptables/nftables（云厂商或自定义规则场景）。
二、使用UFW的最小放行规则
- 直连 Elasticsearch（示例为本地）
- 放行本机访问 ES：sudo ufw allow from 127.0.0.1 to any port 9200 proto tcp
- 放行 Filebeat 所在主机访问远端 ES：sudo ufw allow out to <ES_IP> port 9200 proto tcp
- 发送至 Logstash
- 放行到 Logstash 的 5044/TCP：sudo ufw allow out to <Logstash_IP> port 5044 proto tcp
- 仅本地采集、本机 ES 的最小规则集
- 放行本地回环访问 ES：sudo ufw allow from 127.0.0.1 to any port 9200 proto tcp
- 保持默认拒绝其他入站，避免暴露 9200/5044 到公网
- 启用与持久化
- 启用防火墙：sudo ufw enable
- 按需重载：sudo ufw reload
- 说明
- 若部署在同一主机，优先使用 127.0.0.1 限制访问面；跨主机仅开放必要来源网段与目标端口。
三、使用Iptables或Nftables的精准控制
- Iptables 示例
- 仅允许某台 Filebeat 访问 ES 9200：
- sudo iptables -A INPUT -p tcp -s <Filebeat_IP> --dport 9200 -j ACCEPT
- 允许本机回环访问 ES：
- sudo iptables -A INPUT -p tcp -s 127.0.0.1 --dport 9200 -j ACCEPT
- 默认拒绝其他到 9200 的入站：
- sudo iptables -A INPUT -p tcp --dport 9200 -j DROP
- 保存规则（Debian 常用持久化路径）：
- sudo iptables-save | sudo tee /etc/iptables/rules.v4
- Nftables
- 思路一致：为 9200/5044 建立“源地址限定 + 目的端口”允许规则，其余默认丢弃；按需持久化保存。
四、与TLS和认证的协同配置
- 在开启防火墙的同时，建议启用传输加密与强认证，避免仅靠网络层隔离。
- Filebeat 侧示例（Elasticsearch 输出）：
- 启用 TLS 与证书校验：
- output.elasticsearch:
- hosts: [“https://<ES_HOST>:9200”]
- username: “elastic”
- password: “<YOUR_PASSWORD>”
- ssl.enabled: true
- ssl.certificate_authorities: [“/etc/filebeat/certs/ca.crt”]
- ssl.certificate: “/etc/filebeat/certs/filebeat.crt”
- ssl.key: “/etc/filebeat/certs/filebeat.key”
- 原则
- 防火墙做“最小暴露面”，TLS/认证做“数据面强校验”，两者配合提升整体安全性。
五、验证与排障
- 服务与连通性
- 查看 Filebeat 状态：sudo systemctl status filebeat
- 实时查看日志：sudo journalctl -u filebeat -f 或 tail -f /var/log/filebeat/filebeat
- 网络连通性测试
- 到 ES：nc -vz <ES_IP> 9200 或 curl -vk https://<ES_IP>:9200
- 到 Logstash：nc -vz <Logstash_IP> 5044
- 防火墙规则核查
- UFW：sudo ufw status verbose
- Iptables：sudo iptables -S | grep 9200 或 grep 5044
- 常见问题
- 规则顺序不当导致被默认策略拒绝（UFW 默认策略、iptables 规则链位置）。
- 证书路径或权限错误导致 TLS 握手失败（证书文件需对 filebeat 用户可读）。
- 将 5044/UDP 误认为必要（常见为 TCP）；或误以为需要为 Filebeat 开放入站端口（通常为出站即可）。
