Аудит слушающих служб

На сервере склада работают сайт, база и админка, а из сети должны быть видны только сайт и SSH. Найди, что ещё открыто наружу, и закрой так, чтобы на самом сервере всё работало — и после перезагрузки.

Ситуация

На node1 работает склад «Север». Сайт для клиентов отдаёт nginx на порту 80. Остатки хранятся в базе PostgreSQL stock, а правят их в админке — службе lab-admin. Админкой пользуются только с самого сервера, через SSH-туннель, и база нужна только ей. Сканер безопасности прислал отчёт: из сети у node1 видно больше, чем сайт и SSH.

node2 — соседняя машина той же сети. С неё node1 видно так же, как любому чужому адресу: ssh node2 'команда'. sudo работает без пароля на обеих машинах.

Задача

1. Из сети node1 отвечает только на SSH (порт 22) и сайт (порт 80). Остальное закрыто и для node2, и для других адресов сети — по IPv4 и по IPv6.
2. SSH и сайт http://node1/ открыты для node2 и других адресов сети.
3. На самом node1 база и админка работают как раньше: curl http://127.0.0.1:8080/ показывает остатки из базы stock.
4. Так останется и после перезагрузки node1.

Интернета в лабе нет — только сеть между node1 и node2. Всё нужное установлено на обеих машинах. С node1 на node2 ты ходишь по SSH, проверка — тоже: не закрой этот путь.