puppetmaster por trás do firewall

Question

Estou tentando executar um fantoche em alguns servidores fora do meu firewall corporativo, com o mestre de fantoches dentro do firewall. Vai ser extremamente difícil - se não impossível - convencer a TI corporativa a abrir a porta 8140 para mim, então quais são minhas opções para que ela funcione?

    

Answer 1

Esta é uma das alegrias de trabalhar para uma grande corporação. Você pode ser um administrador de sistema para um dos muitos departamentos pequenos e não faz parte da I.T. departamento em tudo. Você liga para o help desk centralizado que suporta todos os 10.000 funcionários de área de trabalho:

You: Hi, I'd like to request a modification to the office primary inbound firewall to allow 192.0.2.0/24 to access 10.0.5.0/24 on port 8140.
Them: Is it a PC or a Mac?
You: What? No, I'm requesting a firewall modification for the entire office. There's nothing wrong with my computer.
Them: OK, what I want you to do is go to the "Start" menu and <click>...

Conheça os gerentes do I.T. departamento. Conheça os caras que trabalham no NOC. Na verdade, caminhe até lá, se apresente e converse com eles. Fazer as coisas em uma empresa grande é tudo sobre quem você conhece e o quanto gosta de você .

Agora, na próxima vez que você precisar fazer algo assim, não toque no iT corporativo. - Ligue direto para o deputado I.T. diretor ou o chefe do NetOps.

IT Director: Hey Brooks, what can I do for you today?
You: I'm setting up a shared Puppet for our production and dev servers and I need the Puppet clients in production to talk to the Puppet master in the office.
IT Director: OK, just send and email with the IP address details to John in the NOC and I'll approve the request when it comes through. By the way, how did your game go on the weekend?

Note que a conversa acima não é a que você terá amanhã. É o que você terá em três meses quando todos os administradores de sistemas e de TI competentes souberem seu nome. Amanhã está começando a conhecer esses caras.

Enquanto você está trabalhando em suas habilidades de pessoas, é um requisito que o mestre de marionetes esteja dentro de seu escritório?

Por que não colocá-lo no mesmo lugar que os clientes? Isso resolveria seu problema e, provavelmente, outros problemas, como latência e queda de conexões.

    

Answer 2

Tivemos um problema semelhante com nossa infraestrutura, nossa solução foi abrir um túnel SSH. Você abriria o túnel através de sua caixa local, por exemplo.

ssh -L 8140:localhost:8140 $puppetmaster

ssh -R 8140:localhost:80 $host

Já faz um tempo, mas se a memória serve, isso deve ajudar.

Confira este artigo sobre o encapsulamento SSH .

    

Answer 3

Você pode rodar o puppetmaster no 443. Se você quer rodar o master nos 8140 e 443, e este é um servidor Linux, uma boa opção é usar o iptables.

iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 8140

No agente, defina masterport = 443 no arquivo puppet.conf.