Kassinipedia

Port Lockdown

Se lee en 3 min

Port Lockdown

Resumen

Port Lockdown decide qué servicios acepta cada self IP del BIG-IP (SSH, HTTPS, SNMP, DNS, protocolos de HA…). Protege al propio equipo, no a las aplicaciones: el tráfico hacia los virtual servers no pasa por Port Lockdown. Lo recomendado es Allow None en las self IPs externas y abrir solo lo necesario en las internas y en la de HA.

Requisitos previos

  • Saber qué self IPs están expuestas a redes no confiables
  • Qué servicios necesita cada self IP (gestión in-band, HA, routing dinámico, monitoreo)
  • Acceso por la interfaz mgmt o consola por si te quedas fuera

Conceptos clave

OpciónQué permite
Allow NoneNada (salvo las excepciones)
Allow DefaultLa lista por defecto (abajo)
Allow AllTodo
Allow CustomSolo los protocolos/puertos que agregues
Allow Custom (Include Default)Tu lista + la lista por defecto

Lista por defecto: IGMP, OSPF, PIM, TCP/UDP 4353 (iQuery/CMI), TCP 443, TCP/UDP 161 (SNMP), TCP 22, TCP/UDP 53, UDP 520 (RIP), UDP 1026 (failover).

Siempre permitido (excepciones): tráfico a virtual servers, ICMP, TCP 4353 y los puertos de mirroring TCP (1029–1155, un canal por traffic group; 1028 en versiones antiguas).

Port Lockdown no filtra por IP de origen

Solo filtra por protocolo y puerto. Para limitar quién se conecta usa packet filters, AFM o, en la gestión, las Management Port Rules.

Configuración (Ejemplo, Lab CBT Nuggets)

1. Ver el estado actual

Network > Self IPs > columna Port Lockdown.

tmsh list net self
tmsh list net self-allow

list net self-allow muestra los protocolos del perfil Allow Default.

2. Allow None en la self IP externa

Network > Self IPs > 172.16.101.11 > Port Lockdown: Allow None > Update.

tmsh modify net self self_external allow-service none

3. Allow Custom en la self IP interna

Network > Self IPs > 10.10.101.11 > Port Lockdown: Allow Custom > TCP, Port 22 > Add; TCP, Port 443 > Add > Update.

tmsh modify net self self_internal allow-service replace-all-with { tcp:22 tcp:443 }

4. Self IP de HA

Necesita TCP 4353 (ConfigSync) y UDP 1026 (failover). La opción simple es Allow Default; la más estricta, Allow Custom con esos dos puertos.

tmsh modify net self self_ha allow-service replace-all-with { tcp:4353 udp:1026 }
tmsh save sys config

Verificación

Comando o lugarQué debes verSi no lo ves
tmsh list net selfallow-service correcto en cada self IPPasos 2–4
Desde un cliente externo: ssh 172.16.101.11Rechazado o sin respuestaRevisa que la externa esté en Allow None
Desde un cliente externo: ping 172.16.101.11Responde (ICMP siempre está permitido)—
tmsh show cm sync-statusIn Sync tras endurecer la self IP de HAAbre TCP 4353 y UDP 1026

Errores comunes

Un equipo externo hace ping a la self IP aunque está en Allow None

  • Causa: ICMP está implícitamente permitido por Port Lockdown.
  • Solución: es el comportamiento esperado. Para bloquear ICMP usa packet filters o AFM.

Se rompió el ConfigSync o el failover

  • Causa: la self IP de HA no permite UDP 1026 (heartbeat de failover). TCP 4353 está exento, así que el ConfigSync suele seguir funcionando y lo que falla es el failover por red.
  • Revisa: tmsh show cm failover-status, /var/log/ltm.
  • Solución: Allow Default o Allow Custom con UDP 1026 (y TCP 4353 si quieres dejarlo explícito).

Perdí el acceso SSH/GUI por la self IP

  • Causa: Allow None en la IP por la que administrabas.
  • Solución: administra por la interfaz mgmt (o consola) y ajusta el Port Lockdown.

OSPF/BGP dejó de formar vecindad

  • Causa: Allow None o Custom sin el protocolo de routing.
  • Solución: agrega el protocolo (OSPF) o el puerto (TCP 179 para BGP) en Allow Custom.

Retroenlaces