防火墙需要哪些开放端口才能允许盐堆远程执行？

Question

关于salt-master-> salt-minion所需的端口，Saltstack上的文档似乎不清楚（显然不需要）。这表明只需要从salt-minion-> salt-master打开端口。（请参阅：http : //docs.saltstack.com/en/latest/topics/tutorials/firewall.html）

但是，如果在以小仆为目标的盐主机上远程执行命令，则主机肯定需要能够将其推送到小兵中，因此需要允许网络开放。

因此，我的问题是是否需要在两个方向上都打开Saltstack端口（4505＆4506），或者是否通过其他协议触发了远程命令？

[背景知识：我的团队希望盐堆设置可以在非常严格的网络中管理服务器环境，在该网络中，在安全概念中需要请求每个单独的网络路由。这不受我们公司的控制，我需要明确请求所有必需的路线以及各个方向的信息。]

Answer 1

Salt使用zeromq pub / sub接口与各小部进行通信。实际上，您只需要打开主防火墙上的端口4505和4506。

爪牙监听主服务器上的一个端口（即“发布”端口），然后将结果返回到另一端口上的主服务器。

主人从来没有实际“推”命令给奴才。仆从侦听发布端口上发布的命令。这就是为什么您不需要在奴才上打开任何传入端口的原因。