如何以编程方式即时管理 iptables 规则？

Question

我需要查询现有规则，以及能够轻松添加和删除规则。我还没有找到任何用于执行此操作的 API。有什么我遗漏的吗？

我最接近的解决方案是使用iptables-save | iptables-xml 进行查询并手动调用 iptables 命令本身来添加/删除规则。我考虑过的另一个解决方案是简单地从我的应用程序的数据库中重新生成整个规则集并刷新整个链，然后再次应用它。但我想避免这种情况，因为我不想丢弃任何数据包——除非有一种方法可以原子地做到这一点。我想知道是否有更好的方法。

C 语言的 API 会很棒；但是，由于我打算将其构建到独立的 suid 程序中，因此使用任何语言的库也可以。

Answer 1

根据 netfilter 的讨论，我知道它是一个短期解决方案，但在短期内，您可以使用用 python 包装的 iptc：

https://github.com/ldx/python-iptables

我在最近的一个项目中使用了它，发现它非常有效。

Answer 2

您可以考虑使用rfw，它是 iptables 的 REST API。 它正在序列化来自各种潜在并发源的 iptables 命令，并即时远程执行 iptables。

rfw 专为尝试在多个机器上更新防火墙规则的分布式系统而设计，但它也可以在 localhost 接口的单台机器上运行。然后它可以避免 SSL 和身份验证开销，因为在这种情况下它可以在纯 HTTP 上运行。

示例命令：

PUT /drop/input/eth0/11.22.33.44

对应于：

iptables -I INPUT -i eth0 -s 11.22.33.44 -j DROP

您可以插入和删除规则以及查询当前状态以获取JSON格式的现有规则：

GET /list/input

免责声明：我开始了那个项目。它是在 MIT 许可下开源的。

Answer 3

这是一个使用 bash 和 iptables 动态阻止黑客在 CentOS 上滥用 sshd 的示例。在这种情况下，我将 sshd 配置为禁止密码登录（允许密钥）。我在 /var/log/secure 中查找“Bye Bye”的条目，这是 sshd 说 f-off 的礼貌方式......

IP=$(awk '/Bye Bye/{print $9}' /var/log/secure |
     sed 's/://g' |sort -u | head -n 1)

[[ "$IP" < "123" ]] || {

  echo "Found $IP - blocking it..." >> /var/log/hacker.log

  /sbin/iptables -A INPUT -s $IP -j DROP

  service iptables save

  sed -i "/$IP/d" /var/log/secure

}

我每秒或每分钟循环运行一次，或者任何让我开心的事情。我测试了 $IP 的值以验证它是否找到了有用的值，如果是，我调用 iptables 将其删除，并使用 sed 清除 $IP 的日志文件，这样就不会再次添加该条目。

我做了一些预处理（未显示）以将一些始终有效且可能无法连接（由于用户错误）的重要 IP 列入白名单。

我不时地对 iptables 过滤器列表进行排序并从中创建 IP 范围（使用不同的脚本 - 选中时，它们通常是来自印度、中国和俄罗斯的 IP 范围）。因此，我的整体 iptables 过滤规则集保持在 50 到 500 个条目之间； ipset 在这么短的列表上并没有真正改进。

Answer 4

今天早上我醒来发现正在受到来自俄罗斯的拒绝服务 (DOS) 攻击。他们从几十个 IP 块中攻击我。他们必须拥有大量 IP 或某种代理列表/服务。每次我屏蔽一个IP，就会弹出另一个IP。最后，我寻找了一个脚本，发现我需要编写自己的解决方案。以下内容有点激进，但他们将我的 TOP LOAD LEVEL 运行到了 200 以上。

这是我编写的用于实时阻止 DOS 的快速脚本。

cat  **"output of the logs"** | php ipchains.php **"something unique in the logs"**

==> PHP 脚本：

<?php

$ip_arr = array();

while(1)
{
   $line = trim(fgets(STDIN)); // reads one line from STDIN
   $ip = trim( strtok( $line, " ") );

   if( !array_key_exists( $ip, $ip_arr ) )
      $ip_arr[$ip] = 0;

   $regex = sprintf( "/%s/", $argv[1] );

   $cnt = preg_match_all( $regex, $line );

   if( $cnt < 1 ) continue;

   $ip_arr[$ip] += 1;

   if( $ip_arr[$ip] == 1  )
     {
//     printf( "%s\n", $argv[1] );
//     printf( "%d\n", $cnt );
//     printf( "%s\n", $line );

       printf( "-A BLOCK1 -s %s/24 -j DROP\n", $ip );

       $cmd = sprintf( "/sbin/iptables  -I BLOCK1  -d %s/24 -j DROP", $ip );
       system( $cmd );
     }
}

?>

假设：

1) BLOCK1 is a Chain already created. 
2) BLOCK1 is a Chain that is run/called from the INPUT CHAIN 
3) Periodically you will need to run "ipchains -S BLOCK1" and put output in /etc/sysconfig file. 
4) You are familiar with PHP 
5) You understand web log line items/fields and output.

Answer 5

据我了解（尽管似乎没有提及它），iptables-restore 是原子的。最后，当读取COMMIT 行时，iptables 在libiptc 中调用iptc_commit（在您不应该使用的内部接口中），然后使用您的新规则集调用setsockopt(SO_SET_REPLACE)。

这听起来就像你能得到的一样原子：一个内核调用。但是，请更多知识渊博的各方对此提出异议。 :-)

编辑： 我可以确认您的描述是正确的。 iptables-restore 在内核中作为原子操作完成。

更具体操作“仅”在每个 CPU 基础上是原子的。因为我们存储每个 CPU 的整个规则集 blob（由于缓存优化）。

Answer 6

使用 iptables-save 和 iptables-restore 查询和重新生成规则是最有效的方法。这些曾经是 shell 脚本，但现在它们是运行非常高效的 C 程序。

但是，我应该指出，您可以使用一个工具来简化 iptables 的维护。大多数动态规则集实际上都是重复多次的相同规则，例如：

iptables -A INPUT -s 1.1.1.1 -p tcp -m --dport 22 -j ACCEPT
iptables -A INPUT -s 2.2.2.0/24 -p tcp -m --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 22 -j REJECT

每次您想更改哪些端口可以访问端口 22（例如，端口敲门很有用）时，您可以使用 ipsets，而不是替换这些规则。即：

ipset -N ssh_allowed nethash
iptables -A ssh_allowed -m set --set ssh_allowed src -p tcp -m --dport 22 -j ACCEPT
ipset -A ssh_allowed 1.1.1.1
ipset -A ssh_allowed 2.2.2.0/24

集合可以保存 ip 地址、网络、端口、mac 地址，并在其记录中设置超时。 （曾经想在一个小时内添加一些东西吗？）。

甚至还有一种原子方式将一个集合与另一个交换，因此刷新意味着创建一个新的临时集合，然后将其作为现有集合的名称进行交换。

Answer 7

MarkR 说得对，你不应该这样做。最简单的方法是从脚本中调用 iptables 或编写 iptables 配置并“恢复”它。

不过，如果您愿意，请阅读 iptables 的源代码。 iptables 使用匹配项和表作为共享对象。您可以使用源或它们。

Linux 网络过滤器在 /usr/include/netfilter* 下也有一些包含文件。这些是一些低级功能。这是 iptables 使用的。这与没有 iptables 的 API 一样接近。

但是这个 API 很“混乱”。请记住，它被设计为仅供 iptables 使用。它没有很好的文档记录，您可能会遇到非常具体的问题，API 可以在没有任何警告的情况下快速更改，因此升级可能会破坏您的代码，等等。

Answer 8

来自netfilter FAQ：

不幸的是，答案是：不。

现在您可能会想“但是 libiptc 呢？”。正如邮件列表中多次指出的那样，libiptc 从不 打算用作公共接口。我们不保证一个稳定的接口，并计划在 linux 包过滤的下一个版本中将其删除。 libiptc 太底层了，无论如何都不能合理使用。

我们很清楚这种 API 根本就缺乏，我们正在努力改善这种情况。在此之前，建议使用 system() 或打开管道进入 iptables-restore 的标准输入。后者将为您提供更好的性能。

Answer 9

故意没有 API 来管理这些规则。你不应该想要这样做。什么的。

如果您需要足够动态的规则，您关心执行 /sbin/iptables 的性能，还有其他方法可以做到：

• 使用“最近”匹配或 ip 集匹配之类的东西，您可以在不更改规则集的情况下从黑/白名单中添加/删除 IP 地址。
• 您可以将数据包传递到用户空间以使用 NFQUEUE 进行过滤