基于CentOS Linux的简易网关策略

最新推荐文章于 2023-12-29 01:43:54 发布
最新推荐文章于 2023-12-29 01:43:54 发布
阅读量1.6k 收藏 1
点赞数
文章标签： centos linux 网络 tcp internet manager
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/stevenkoh/article/details/7669068
版权

公司有4M网络出口网络，公司把公司网站也构架在内网上。由于某些员工不自觉，经常使用高流量的应用，经过调整效果很好，先应用记录如下：

 

公司网络拓扑架构

 

网络： 192.168.1.xxx

网关：192.168.1.2 DNS：取自运营商

无线：192.168.1.1(原始设置，通过LAN口和主交换机连接)

交换机：最基本的TPLink交换机

系统运行CentOS Linux 5.x系统，eth0连接内网，eth1/ppp0连接电信ADSL。通过免费DNS解析一个花生壳免费DNS.    temptest.51vip.biz，具体ppp0和免费域名参见其它，资料太多了，遍地都是。

 

网络管理就是绑定 MAC/IP 使每个人都使用DHCP获取IP，且和人绑定，这样发现问题可以有案可查。

网络划分：

   192.168.1.1 -- 127  无限制  127个

   192.168.1.128--254 127个 UDP限制，只允许MSN/QQ/DNS 其他基于UDP的p2p应用不予开放

   192.168.1.176-191  16个，TCP端口限制，高区TCP随机端口屏蔽防止p2p应用

   192.168.1.192-229  38个, DHCP分配方案

 

/etc/rc.local 启动文件配置

 

   

#/etc/rc.local 添加

modprobe ip_nat_ftp

#10 hours
echo 36000 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established

echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr

#屏蔽除QQ外 UDP ，防止基于UDP p2p 应用, IP>128的则屏蔽
iptables -i eth0 -A FORWARD -s 192.168.1.128/25 -p udp --sport 4001:55000 --dport ! 53 -j DROP
iptables -i eth0 -A FORWARD -s 192.168.1.128/25 -p udp --sport 1500:3999 --dport ! 53 -j DROP

#192.168.1.176-191 屏蔽 TCP 群发端口
iptables -i eth0 -A FORWARD -s 192.168.1.176/28 -p tcp --dport 8100:45000 -j DROP
#ban IP CallIE.exe
iptables -i eth0 -A FORWARD -s 192.168.1.176/28 -p tcp -d 119.167.216.0/24 -j DROP
iptables -i eth0 -A FORWARD -s 192.168.1.176/28 -p tcp -d 119.184.126.0/24 -j DROP
iptables -i eth0 -A FORWARD -s 192.168.1.176/28 -p tcp -d 123.125.114.0/23 -j DROP


#ban Xunlei
iptables -i eth0 -A FORWARD -s 192.168.1.128/25 -p udp --dport 53 -m string --algo bm  --string 'sandai.net' -j DROP
iptables -i eth0 -A FORWARD -s 192.168.1.128/25 -d 219.134.132.0/24 -j DROP

#开启转发
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j MASQUERADE


 

我把相关的内容放在 /etc/dhcp_manager 目录下 /etc/dhcp_manager/log 是保存dhcpd.conf目录 chkMAC.sh  dhcp_manager.sh  refreshdns.sh dhcp_manager.awk  dhcpdhead.txt ComputerList.txt 分别构成不同模块

dhcp_manager.sh dhcp_manager.awk dhcphead.txt ComputerList.txt 是DNS辅助工具

ComputerList.txt 是网络内的MAC地址数据库

文本文件,Tab制表符分割。第三列使用者不能重复，名称必须唯一。一共8列,第一行注释，不要写具体内容，凡已经知道的都保存在这里，一台设备分配一个地址。注意：如果一个笔记本既有有线网，也有无线网，请分配一个地址，且使用者不要重复。

 

IP	Mac	电脑名称(唯一)	使用者（中文）	类型	Machine	DeskTop/Laptop	Cable/Wireless
192.168.1.50	00:00:E8:14:1B:AA	mycompany1	Unknow	管理员	PC	DeskTop	Cable
192.168.1.11	6C:62:6D:21:27:D3	mycompany3	Unknow	管理员	PC	DeskTop	Cable
192.168.1.13	CC:08:E0:37:C9:C0	mycompany5	Unknow	管理员	PC	DeskTop	Cable
192.168.1.14	00:14:2A:7A:F3:AA	mycompany6	Unknow	管理员	PC	DeskTop	Cable
192.168.1.15	00:14:2A:2D:B2:04	mycompany7	Unknow	管理员	PC	DeskTop	Cable
192.168.1.18	00:11:5B:E9:F4:2D	mycompany10	Unknow	管理员	PC	DeskTop	Cable
192.168.1.19	00:40:63:E0:FC:14	mycompany11	Unknow	管理员	PC	DeskTop	Cable
192.168.1.20	00:40:63:FF:FF:41	mycompany12	Unknow	管理员	PC	DeskTop	Cable

 

dhcphead.txt 是dhcpd.conf文件的基本配置

dhcp_manager.awk dhcpmanager.sh 会根据dhcphead.txt文件生成dhcpd.conf配置文件, 如果要定义一些dhcpd.conf需要在此配置

dhcphead.txt

ddns-update-style interim;
ignore client-updates;

subnet 192.168.1.0 netmask 255.255.255.0 {


#        default-lease-time 21600;
#        max-lease-time 43200;
#

        default-lease-time 1800;
        max-lease-time 7200;

	option time-offset              -18000; # Eastern Standard Time

        option routers                  192.168.1.2;
        option subnet-mask              255.255.255.0;

        range dynamic-bootp 192.168.1.192 192.168.1.229;

        option domain-name-servers  210.22.70.3,210.22.70.227;

dhcp_manager.awk

根据dhcpdhead.txt和computerlist.txt文件生成一个dhcpd.conf配置文件，包含mac地址IP地址绑定

 

#awk IP,MAC,uid

BEGIN {
	FS="\t"

	system("cat dhcpdhead.txt");

}


END {
	print "\n\n}"
}

{	
	if ( NR > 1 ) {
		print "\t\t\t host " $3 " \t{"
		print "\t\t\t\t hardware ethernet " $2 ";"
		print "\t\t\t\t fixed-address " $1 ";"
		print "\t\t\t\t #" $3 " " $4 " " $5 " " $6 " " $7
		print "\t\t\t }"
	}
}


dhcp_manager.sh

dhcp_manager执行文件，会保存当前dhcpd.conf原始文件,并生成dhcpd.conf文件

#!/bin/bash
#

cd /etc/dhcp_manager
day=`date +%Y%m%d%H%M%S`

/etc/init.d/dhcpd stop
mv ../dhcpd.conf log/dhcpd.conf.$day

awk -f dhcp_manager.awk ComputerList.txt > ../dhcpd.conf

/etc/init.d/dhcpd start

 

refreshdns.sh

刷新dhcpd.conf DNS分配，该文件置于rc.local末尾，可以刷新DNS，防止运营商更改DNS后，无法解析

 

 

#!/bin/bash

dnsfile=/etc/resolv.conf

if [ -e $dnsfile ] ;then
  
  if  grep nameserver $dnsfile ;then

	dns1=`cat $dnsfile |grep nameserver | cut -d' ' -f2 |tail -n1 | head -n1`
	dns2=`cat $dnsfile |grep nameserver | cut -d' ' -f2 |tail -n2 | head -n1`

	echo $dns1
	echo $dns2

	sed -e "s/\(^[ \t]\+option domain-name-servers[ \t]\)\+.\+/\1 $dns1,$dns2;/g" /etc/dhcpd.conf > /etc/dhcpd.conf2
	cd /etc
	/etc/init.d/dhcpd stop
	mv -f dhcpd.conf2 dhcpd.conf
	/etc/init.d/dhcpd start
  fi
fi


chkMAC.sh

网络检查软件，该文件自动监控网络中的MAC地址，如果不是通过dhcpd.conf的规范地址，则会屏蔽其对于Internet的使用。每个5分钟检查一次，放在crontab中处理

#!/bin/bash
#!/bin/bash
export PATH=$PATH:/sbin:/usr/sbin

arplog=/var/log/arp.log
msglog=/var/log/messages

IPList=/etc/dhcp_manager/ComputerList.txt
curbanIP=/tmp/curBanfwdips.txt
curARPIP=/tmp/curARPIP.txt
lastIPTables=/tmp/lastiptables.txt

LANDev=eth0
resvBegin=1
resvEnd=127
dhcpBegin=192
dhcpEnd=229
IDWORD=chkmac

#Save arp log
arp -n -i eth0 |grep ether| awk '{print  strftime("%F %H:%M %w")"\t"$1"\t"$3"\t"$2}' >> $arplog
iptstate -s | grep 192.168 | cut -d':' -f1 | cut -d' ' -f1 | sort | uniq -c | awk '{ print strftime("%F %H:%M %w")"\t"$2"\t"$1"\t state"}' >> $arplog

#remove IP in INPUT
iptables --line-numbers -L FORWARD -nv | grep MAC | awk '{if(match($9,"^!")) print $1"\t"substr($9,2)"\t"$12"\t"$2;else print $1"\t"$9"\t"$12"\t"$2 }' | tac > $curbanIP
arp -i $LANDev -n | grep ether | awk '{print $1"\t"$3}' > $curARPIP

num=`cat $curbanIP | wc -l`
if [ $num -gt 0 ] ;then
	#>0
	cat $curbanIP | while read idx IP MAC pkgs
	do	
		if grep $MAC $curARPIP > /dev/null ;then
			#exist
			if [ $IP = anywhere ] || [ $IP = '0.0.0.0/0' ];then
				#baned already
				IPinArp=`grep $MAC $curARPIP | tail -n1 | cut -f1 | cut -d'.' -f4`
				if [ $IPinArp -ge $dhcpBegin ] && [ $IPinArp -le $dhcpEnd ];then
					iptables -D FORWARD $idx
					echo `date '+%b %e %T'` $0 ":  iptables -D FORWARD $idx  $IP was obained by DHCP"  >> $msglog
				fi
			else
				IPinArp=`grep $MAC $curARPIP | head -n1 | cut -f1`
				IPinList=`grep $MAC $IPList | head -n1 | cut -f1`
				if [ $IPinArp = $IPinList ] ;then
					iptables -D FORWARD $idx
					echo `date '+%b %e %T'` $0 ":  iptables -D FORWARD $idx   $MAC $IP  is OK"  >> $msglog
				fi
			fi
		else
			#not in arp list
			if grep $MAC $lastIPTables > /dev/null ;then
				lastPkgs=`grep $MAC $lastIPTables|head -n1|cut -f4`
				if [ $pkgs = $lastPkgs ] ;then
					#no more forwareded pkgs
					#removed 
					iptables -D FORWARD $idx
					echo `date '+%b %e %T'` $0 ":  iptables -D FORWARD $idx   $MAC is no more forwarded pkgs"  >> $msglog	
				fi
			else
				#removed 
				iptables -D FORWARD $idx
				echo `date '+%b %e %T'` $0 ":  iptables -D FORWARD $idx   $MAC is not in arp-list"  >> $msglog	
			fi
			continue			
		fi
	done
fi

num=`cat $curARPIP | wc -l`
if [ $num -gt 0 ];then
	cat $curARPIP | while read IP MAC
	do
		if ! iptables -L FORWARD -nv|grep $MAC > /dev/null ;then
			#New
			if grep $MAC $IPList > /dev/null ; then
				IPinList=`grep $MAC $IPList | head -n1 | cut -f1`
				if [ $IP != $IPinList ] ;then

					tmpStr=`date '+%F %T'`
					tmpStmp=`date +%s`

					iptables -i $LANDev -A FORWARD -m mac --mac-source $MAC -s ! $IPinList -j DROP -m comment --comment "tmstmp:$tmpStmp ,add at $tmpStr,baned by $IDWORD"
					echo `date '+%b %e %T'` $0 ":  $MAC $IP  is illegal "  >> $msglog
				fi
			else
				#Not in Compulist.txt,check DHCP
				subIP=`echo $IP|cut -d'.' -f4`
				
				if [ $subIP -lt $dhcpBegin ] || [ $subIP -gt $dhcpEnd ];then
					#Not in Computlist.txt and not in DHCP

					tmpStr=`date '+%F %T'`
					tmpStmp=`date +%s`

					iptables -i $LANDev -A FORWARD -m mac --mac-source $MAC -j DROP -m comment --comment "tmstmp:$tmpStmp ,add at $tmpStr,baned by $IDWORD"
					echo `date '+%b %e %T'` $0 ":  $MAC $IP  is out of DHCP "  >> $msglog
				fi
	
			fi
		fi		
	done
fi

iptables --line-numbers -L FORWARD -nv | grep MAC | awk '{if(match($9,"^!")) print $1"\t"substr($9,2)"\t"$12"\t"$2"\t"strftime("%F %T");else print $1"\t"$9"\t"$12"\t"$2"\t"strftime("%F %T") }' > $lastIPTables

rm -f $curbanIP
rm -f $curARPIP


 

日常运营

日常运营需要 arp iptables iptstate 等日常工具，一般ip占用资源书多的人，带宽占用多

iptstate -s | cut -d':' -f1 | sort | uniq -c

这条命令一般可以把占用多的人给列出来

 

 

FAQ:

为何不用 MAC/IP静态绑定？

答: 由于Centos 提供httpd samba 服务，所以私自使用IP者可以使用这些内网服务，但不能使用IP转发的Internet服务

 

我是Linux新手,需要掌握常用的那些Linux命令？

答：新手就是勤学勤练，多弄弄笔什么都好。建议弄个三台旧电脑，模拟一样环境。从我日常的需求要来看，主要需求如下：

iptables 设置路由器，查看路由器

iptstate 查看当前网络客户使用状态

arp 查看当前arp-ip映射，如果有arp风暴或者欺骗，一查就知道了，然后通过iptables 直接ban掉mac地址，确保网关安全

netstate 查看当前主机连接，某些攻击，这里一看就知道

grep cut  uniq awk 等一些通于日常统计的简单命令

/var/log/message /var/log/secure 等常用日志文件，都要知道

先这点，以后补充，多学多用就是王道

 

更新日志

2012-06-25

更新chkMAC.sh    增加了 arp.log 记录,删除MAC地址是检查是否活跃,不活跃才删除,活跃继续保留。

 

 

         

 

 

 

 

 

 

stevenkoh
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
基于linux的多功能网关的设计
10-19
深入研究了MODBUSRTU协议和MODBUSTCP协议,以UC7402-LX为开发平台,设计了一款linux多功能网关,用于解决工业以太网环境下串口通信设备的“信息孤岛”问题。
基于linux的网关设计,基于Linux的无线通信网关的设计与实现
weixin_34697393的博客
05-14 225
摘要：RFID (Radio Frequency Identification)射频识别,是一种非接触式的自动识别技术,它通过射频信号自动识别目标对象并获取相关数据。RFID射频识别系统主要包括读写器和电子标签,而电子标签主要分为有源和无源。随着信息化技术的高速发展,RFID射频识别技术在世界范围内都得到了广泛的应用。然而,RFID射频识别系统的识别距离较短,通常需要借助其它通信网络将采集到的数据...
基于linux下的网关实验
Logbook的博客
04-29 514
网关：路由器上和自己有相同网段的接受网卡发送的数据IP。网关实验就是让真机变为路由器，保证真机可以连接网络的前提下，在虚拟机也可以上网。 [root@foundation21 ~]# vim /etc/sysconfig/network-scripts/ifcfg-br0 删除网关 [root@foundation21 ~]# route -n 查看网关 ...
网关安全策略：防御网络攻击
禅与计算机程序设计艺术
12-29 976
1.背景介绍 在当今的互联网时代，网络安全已经成为了各个组织和个人最大的关注点之一。随着互联网的普及和技术的发展，网络攻击也变得越来越复杂和频繁。因此，防御网络攻击的策略和技术变得越来越重要。本文将从网关安全策略的角度来看待这一问题，探讨其背景、核心概念、算法原理、实例代码以及未来发展趋势。 2.核心概念与联系 网关安全策略是指一系列的安全措施和技术，用于保护组织或个人的网络设备和数据免受外...
【架构师】零基础到精通——网关策略
Cool
02-23 1万+
跟博主一起学习技术相关的 幂等、限流、降级、断路器、事务、缓存、分库分表 等总结！
Linux最小化安装视频基于Centos7版本
02-24
本视频囊括 1.环境准备 2.虚拟机秘钥破解 3.Centos系统配置 4.初始化工具配置 5.静态IP配置 6.测试网络连接
CentOS Linux安装和软件配置
最新发布
02-21
CentOS Linux安装和软件配置
Linux网关－Centos5系
01-17
Linux网关－Centos5系
CentOS Linux 8和CentOS Stream发行公告
01-20
周二9月24日16:38:36 UTC ...http://wiki.centos.org/Manuals/ReleaseNotes/CentOSLinux8-这些说明 包含有关发行版的重要信息以及一些相关的详细信息 CentOS质量保证团队发布的内容的一部分。这些注意事项 会不断更新
基于CentOS Linux的Web服务器的安装配置.pdf
09-06
基于CentOS Linux的Web服务器的安装配置.pdf
Linux进阶之路————CentOS网络配置
Morty的技术乐园
09-28 796
引言 Linux在装机后，如果没有特殊配置，会使用动态获取 IP 地址的策略。本文描述了，虚拟机使用网络的拓扑图，以及如何通过配置，将 IP 地址固定下来，不会因为重启而失效。同时可以访问外网地址。 一、NAT模式 NAT - 网络地址转换，是目前 IPv4 的ip 地址分配策略，可以解决 ip 地址不足的问题，同时有效地防止来自网络外部的攻击，隐藏并保护网络内部的计算机。 具体细节请戳：...
Zuul网关的安全策略
javaman_baicun 的博客
11-21 951
说到安全策略，首先我们要清楚一般的网络攻击，例如XSS窃取信息、CSRF仿造请求、SQL注入模拟参数、DDos流量、资源攻击，而我们的Zuul,作为后端服务的入口，要保证网络安全，省去后端服务的安全处理。 1、网关添加过滤器，针对不同网络攻击方式，编写不同安全策略 2、XSS攻击->检查请求脚本，是否带XSS脚本，保存时进行转义 3、SQL注入->检查请求脚本，是否带SQL注入脚本，对格式，特殊符号进行处理 4、CSRF->添加token验证机制；请求是否带有ref...
Centos7 防火墙策略rich-rule 限制ip访问-----图文详解
冰恋云的专栏
03-13 7310
查看防火墙策略。
gateway网关负载均衡策略
爪哇盘古
02-13 4233
之前作业是使用 nacos注册中心来搭建有一个微服务，消费者必然要用到gateway网关来操作路由，并且配置负载均衡策略。默认是轮询策略，loadbalancer有两种策略，一个是轮询一个便是随机。关于权重策略可以在nacos后台进行修改。配置文件application.yml。修改为随机策略，添加配置类。添加一个gateway模块。
Linux网络安全策略
最实用的Linux博客
09-27 3263
原贴：http://blog.chinaunix.net/u/26011/showart_327300.html
centos7配置网络
热门推荐
m0_69441318的博客
07-07 2万+
centos7网络配置
安全策略_分享一个SpringCloud微服务网关架构以及安全策略
weixin_35880151的博客
01-04 599
1、 网关架构总体设计当用户请求系统时，必须通过网关路由到对应的服务。请求网关的顺序：1. 通过过安全策略拦截器进行记录请求日志同时进行防止恶意访问和攻击安全防护策略；2. 通过熔断机制防止系统故障蔓延，导致整个系统瘫痪。3. 到达路由之前判断是否需要限流，如需要限流将进行限流策略4. 根据路由服务规则和服务列表路由到相应的微服务中其中当某个请求出错或无响应次数达到一定阈值时实行熔断措施直接返回错...
springcloud 网关限流策略实现
weixin_46553523的博客
01-20 1213
依赖 <!-- spring data redis reactive 依赖 --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-data-redis-reactive</artifactId> </depende
CentOS Linux安装与基础操作指南
在Linux世界中，CentOS是一个非常流行的开源操作系统，它是基于Red Hat Enterprise Linux (RHEL)的克隆版本。与RHEL相比，CentOS完全免费，提供了一个稳定且安全的服务器平台，但不会提供官方的商业支持和技术服务。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值