Wie programmiere ich iptables-Regeln programmatisch im laufenden Betrieb?

Mittels iptables-save und iptables-restore, query und regenerieren Regeln ist einfach der effizienteste Weg, es zu tun. Diese verwendet, um, einmal, shell-Skripte sein, aber jetzt sind Sie C-Programme, die sehr effizient arbeiten.

Allerdings sollte ich darauf hinweisen, dass es ist ein Werkzeug, das Sie verwenden können, die machen die Aufrechterhaltung der iptables viel einfacher. Die meisten dynamischen Regelsätze sind wirklich die gleiche Regel viele Male wiederholt, wie zum Beispiel:

iptables -A INPUT -s 1.1.1.1 -p tcp -m --dport 22 -j ACCEPT
iptables -A INPUT -s 2.2.2.0/24 -p tcp -m --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 22 -j REJECT

Statt ersetzen diese Regeln zu jeder Zeit, die Sie ändern möchten, welche ports kann der Zugriff auf port 22 (nützlich, wenn Sie sagen, port-knocking), die Sie verwenden können, ipsets. Viz:

ipset -N ssh_allowed nethash
iptables -A ssh_allowed -m set --set ssh_allowed src -p tcp -m --dport 22 -j ACCEPT
ipset -A ssh_allowed 1.1.1.1
ipset -A ssh_allowed 2.2.2.0/24

Sets halten kann, ip-Adressen, Netzwerken, ports, mac-Adressen, und haben die timeouts auf Ihre Aufzeichnungen. (Wollten Sie schon immer etwas für nur eine Stunde?).

Gibt es sogar ein atomarer Art zu vertauschen, einen Satz mit einem anderen, also ein refresh bedeutet das erstellen einer neuen temporärer Satz, dann tauschen Sie es in, wie der name des bestehenden gesetzt werden.

InformationsquelleAutor der Antwort Jerub

Soweit ich das verstanden habe (obwohl es keine Referenz scheint, es zu erwähnen), iptables-restore atomar ist. Am Ende, wenn die COMMIT Zeile gelesen, iptables Anrufe iptc_commit im libiptc (die in eine interne Schnittstelle, die Sie nicht verwenden sollte), das dann ruft setsockopt(SO_SET_REPLACE) mit Ihrem neuen Regelsätzen.

Klingt etwa wie atomic, wie Sie bekommen können: mit einem kernel-Aufruf. Jedoch, mehr Kenntnisse die Parteien sind aufgefordert, zu bestreiten. 🙂

Bearbeiten:
Ich kann bestätigen, dass die Beschreibung korrekt ist. iptables-restore erfolgt in Form einer atomaren operation im kernel.

Werden noch mehr bestimmten die operation "nur" atomar ist auf einer pro-CPU-basis. Wie speichern wir die gesamte Regelsatz blob pro CPU (wegen der cache-Optimierungen).

InformationsquelleAutor der Antwort Chris Jester-Young

Diesem morgen ich wachte zu finden, dass war immer ein Denial-Of-Service (DOS) - Angriff aus Russland. Sie schlugen mir aus Dutzenden von IP-Blöcken. Sie müssen entweder einen großen pool von IPs oder irgendeine Art von proxy-Liste/service. Jedes mal, wenn ich blockiert eine IP, ein anderes aufgetaucht. Schließlich suchte ich mir ein script, und fand, die ich brauchte, um zu schreiben, meine eigene Lösung. Das folgende ist ein bisschen aggressiv, aber Sie waren läuft meine TOP-LOAD-LEVEL auf über 200.

Hier ist eine kurze Skript, das ich schrieb, zu blockieren, die DOS in Echtzeit.

cat  **"output of the logs"** | php ipchains.php **"something unique in the logs"**

==> PHP-Script:

<?php

$ip_arr = array();

while(1)
{
   $line = trim(fgets(STDIN)); //reads one line from STDIN
   $ip = trim( strtok( $line, " ") );

   if( !array_key_exists( $ip, $ip_arr ) )
      $ip_arr[$ip] = 0;

   $regex = sprintf( "/%s/", $argv[1] );

   $cnt = preg_match_all( $regex, $line );

   if( $cnt < 1 ) continue;

   $ip_arr[$ip] += 1;

   if( $ip_arr[$ip] == 1  )
     {
//    printf( "%s\n", $argv[1] );
//    printf( "%d\n", $cnt );
//    printf( "%s\n", $line );

       printf( "-A BLOCK1 -s %s/24 -j DROP\n", $ip );

       $cmd = sprintf( "/sbin/iptables  -I BLOCK1  -d %s/24 -j DROP", $ip );
       system( $cmd );
     }
}

?>

Annahmen:

1) BLOCK1 is a Chain already created. 
2) BLOCK1 is a Chain that is run/called from the INPUT CHAIN 
3) Periodically you will need to run "ipchains -S BLOCK1" and put output in /etc/sysconfig file. 
4) You are familiar with PHP 
5) You understand web log line items/fields and output.

InformationsquelleAutor der Antwort Patrick

MarkR ist richtig, du bist nicht, dies zu tun. Der einfachste Weg ist der Aufruf von iptables aus dem Skript oder schreiben die iptables-config und 'wiederherstellen'.

Immer noch, wenn Sie wollen, Lesen Sie die iptables-Quellen. iptables verwendet Spiele und Tabellen als shared objects. Sie können die Quelle oder.

Den Linux netfilter hat auch einige include-Dateien unter /usr/include/netfilter*. Diese sind etwas low-level-Funktionen. Es ist das, was iptables verwendet. Das ist, als in der Nähe eine API, wie man bekommen kann, ohne iptables.

Aber diese API ist 'chaotisch'. Bedenken Sie, dass es entworfen wurde, verwendet werden nur über iptables. Es ist nicht sehr gut dokumentiert, können Sie auf sehr spezifische Probleme, die API ändern kann, Recht schnell, ohne jede Vorwarnung, so ein upgrade vermutlich brechen wird Ihr code, etc.

InformationsquelleAutor der Antwort terminus