vagrantで設定した開発サーバーから外部へのアクセスを遮断するには？

Question

現在、下記の構成のサーバーで管理システムを運営しております

ユーザー －－－ Webサーバー －－－ DBサーバー

こちらの開発環境であるサーバーXをvagrantで、以下のように作成したいと考えております

開発者 －－－ 開発用Webサーバー(サーバーX) －－－ 開発用DBサーバー(サーバーX)

一番怖いのが開発用のWebサーバーから本番用のDBサーバーに繋がってしまい、DBを書き換えてしまうことです。

上記を防ぐには、本番用のDBサーバーで本番用Webサーバー以外からのアクセスを遮断するのが一番良いのですが、そちらのサーバーが顧客のものであり、簡単に設定変更が出来ません。

なので、開発用のWebサーバーから外部へのアクセスを防ぐのがベストかと思うのですが、vagrant、Linux(CentOS)の設定等でそのようなことは可能でしょうか？

ご存知のかたいらっしゃれば、よろしくお願い致します

Answer 1

iptablesで可能です。
次のファイルを記述してiptablesを再起動または設定のリロードしてください。

/etc/sysconfig/iptables

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT DROP [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

Comments

[kutu]

vagrantではcentOSで実装しているのですが

/etc/sysconfig/iptables
というファイルではなく
/etc/sysconfig/iptables-config

・/etc/sysconfig/iptables-configの最後にご提示いただいたコードをコピー＆ペースト
・vagrant Halt==> vagrant upで再起動
・MySQLで外部にアクセス確認==>アクセス可能
・Lynxで外部にアクセス確認 ==> アクセス可能

となってしまいました。
どこか操作を間違っていますでしょうか？
よろしくお願い致します

[moonphase]

私の環境はcentos6ですが、/etc/sysconfig/iptables に記述してうまくできてます。
/etc/sysconfig/iptables-config は元々ありますが、そのファイルはサービス起動の為の設定ファイルでシェルからsourceされてるものかと思います。

[over]

横から失礼します。
まずは環境を確認すべきではないでしょうか?
CentOS7系であればfirewalld推奨です。
iptablesはCentOS6系以前となります。

Answer 2

通常のアプローチですと、
開発用環境と本番環境を同じネットワークに置かないことで、
（出来れば物理的に別の場所に置く、それが難しければ、ルータやスイッチでVLANで切り分ける等）
仮に開発用環境から悪意を持って本番環境に接続しようとしても接続できないようにします。

こういったアプローチは難しい状況でしょうか？