代码重构 防火墙 相关知识

最新推荐文章于 2023-07-31 09:56:40 发布
最新推荐文章于 2023-07-31 09:56:40 发布
阅读量268 收藏
点赞数 1
分类专栏： C++ 加密机
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/CHYabc123456hh/article/details/115914186
版权
C++ 同时被 2 个专栏收录
248 篇文章 27 订阅
订阅专栏
加密机
54 篇文章 18 订阅
订阅专栏

参考

  • 依据Linux命令
  • 以及sysconf下现有的iptables命令，详见hsm_sysconf_server/src/sysconf_server.cpp中的firewall规则。

接口名称

  • firewall_manager

目的(现实)

  • 根据网口直连获取当前eth0和eth1的各种信息
  • 保证设置的正确性      以及要针对管理口和服务口设计不同的初始化操作以及继承的恢复操作。
  • 并且要把防火墙规则通过数据库存储

目的(虚拟)

  • 最终设计出封装性良好的接口与实现
  • 要经过详细的额外设计保证其通用性

开始

第一步

  • 首先需要学习以及尝试使用iptables命令控制防火墙

介绍

  • iptables 的主要功能是实现对网络数据包进出设备及转发的控制。当数据包需要进入设备、从设备中流出或者由该设备转发、路由时，都可以使用 iptables 进行控制
  • iptables 是集成在 Linux 内核中的包过滤防火墙系统。使用 iptables 可以添加、删除具体的过滤规则，iptables 默认维护着 4 个表和 5 个链，所有的防火墙策略规则都被分别写入这些表与链中。
  • “四表”是指 iptables 的功能，默认的 iptable s规则表有 filter 表（过滤规则表）、nat 表（地址转换规则表）、mangle（修改数据标记位规则表）、raw（跟踪数据表规则表）：
    • filter 表：控制数据包是否允许进出及转发，可以控制的链路有 INPUT、FORWARD 和 OUTPUT。
    • nat 表：控制数据包中地址转换，可以控制的链路有 PREROUTING、INPUT、OUTPUT 和 POSTROUTING。
    • mangle：修改数据包中的原数据，可以控制的链路有 PREROUTING、INPUT、OUTPUT、FORWARD 和 POSTROUTING。
    • raw：控制 nat 表中连接追踪机制的启用状况，可以控制的链路有 PREROUTING、OUTPUT。
  • “五链”是指内核中控制网络的 NetFilter 定义的 5 个规则链。每个规则表中包含多个数据链：INPUT（入站数据过滤）、OUTPUT（出站数据过滤）、FORWARD（转发数据过滤）、PREROUTING（路由前过滤）和POSTROUTING（路由后过滤），防火墙规则需要写入到这些具体的数据链中。

2>/dev/null

iptables -c用法   

  • 这使管理员能够初始化规则的包和字节计数器（在INSERT，APPEND，REPLACE操作期间）

重启防火墙

2021年4月20日

今日存在的疑惑   2012年4月21日解决

execute_command干嘛的

#include "common/logging.h"

#include <cstdarg>
#include <cstdio>
#include <string>

namespace hsm {
namespace sys {

int execute_command(const std::string &command, std::string *output = nullptr,
                    bool redirect_stderr = false) {
  const auto &cmd = redirect_stderr ? command + " 2>&1" : command;
  auto pipe = popen(cmd.c_str(), "r");
  if (!pipe) {
    common::log_error("Can not exec command: {}", cmd);
    return -1;
  }
  // consume the output
  {
    char buffer[1024] = {0};
    while (fgets(buffer, sizeof(buffer), pipe) != nullptr) {
      if (output) {
        output->append(buffer);
      }
    }
  }
  return pclose(pipe);
}

} // namespace sys
} // namespace hsm

#include <string>
#include <cstdio>

int main(){
    FILE  *fp;
    char buffer[1024] = {0};
    fp = popen("cat /etc/passwd","r");
    fgets(buffer,sizeof(buffer),fp);
    printf("%s",buffer);
    pclose(fp);
}

fmt::format是否实现 字符串替换 {}  

iptables -C啥意思

  • -c, --set-counters PKTS BYTES
  • This enables the administrator to initialize the packet and byte counters of a rule (during INSERT, APPEND, REPLACE operations).
  • -c, --set-counters PKTS BYTES   这使管理员能够初始化一个规则的数据包和字节计数器（在INSERT、APPEND、REPLACE操作期间）。

{} 和 {1} 之间的区别

  • {} 将输入的参数进行替代
  • {1} 将输入的第一个参数进行替换

相关宏定义的声明

SYS_CONF_OK#define SYS_CONF_OK 0x0
SYS_CONF_SHELL_ERROR#define SYS_CONF_SHELL_ERROR 0x2
FIREWALL_CONF_FILE_PATH#define FIREWALL_CONF_FILE_PATH "/etc/firewall.conf"
FIREWALL_RULES_FILE_PATH#define FIREWALL_RULES_FILE_PATH "/etc/firewall.rules"
FIREWALL_INIT_SCRIPT#define FIREWALL_INIT_SCRIPT "/etc/init.d/11-firewall"
SYS_CONF_UNKNOWN_TYPE#define SYS_CONF_UNKNOWN_TYPE 0x4

std::unique_ptr<KeyValueConfStorage> firewall_config_storage;  KeyValueConfStorage结构

  •  storage.h 继承了类  SysconfStorage
#pragma once

#include "common/common.h"
#include "common/logging.h"

#include <mutex>
#include <string>

#include <json/json.h>

namespace hsm {
namespace sys {

class SysconfStorage {
public:
  explicit SysconfStorage(std::string persistence_file);

  virtual ~SysconfStorage() = default;

  virtual std::string serialize() = 0;

  bool sync(bool make_backup = true);

  void rollback();

protected:
  std::string storage_file;
  std::string backup_file;

  std::mutex sync_data_mutex;
};

class GlobalDataStorage : public SysconfStorage {
public:
  explicit GlobalDataStorage(std::string persistence_file);

  ~GlobalDataStorage() override { sync(); }

  std::string serialize() override;

  bool update_device_status(size_t device_status, bool sync_now = true);

  bool register_ukey(const std::string &ukey_info, bool sync_now = true);

  bool unregister_ukey(const std::string &ukey_info, bool sync_now = true);

  const json &get(const std::string &key) const;

  json &get(const std::string &key);

  const json &get() const { return data; }

private:
  json data;
};

class KeyValueConfStorage : public SysconfStorage {
public:
  explicit KeyValueConfStorage(std::string persistence_file);

  ~KeyValueConfStorage() override { sync(); }

  std::string serialize() override;

  bool set(const std::string &key, const std::string &value,
           bool sync_now = true);

  const std::string &get(const std::string &key);

  std::map<std::string, std::string> &get() { return data; }

private:
  std::map<std::string, std::string> data;
};

} // namespace sys
} // namespace hsm
  • storage.cpp 头文件中声明函数的定义
#include "storage.h"
#include "common/filesystem.h"
#include "common/string_utils.h"

#include <boost/filesystem.hpp>
#include <chrono>
#include <fstream>
#include <sstream>

namespace hsm {
namespace sys {

namespace fs = boost::filesystem;

size_t get_time_us() {
  using namespace std::chrono;
  return duration_cast<microseconds>(system_clock::now().time_since_epoch())
      .count();
}

SysconfStorage::SysconfStorage(std::string persistence_file)
    : storage_file(std::move(persistence_file)),
      backup_file(storage_file + "-") {}

bool SysconfStorage::sync(bool make_backup) {
  std::lock_guard<std::mutex> lock(sync_data_mutex);

  bool make_backup_ok = false;
  if (make_backup && fs::exists(storage_file)) {
    boost::system::error_code ec{};
    fs::rename(storage_file, backup_file, ec);
    if (ec) {
      common::log_error("Failed to sync, can not create backup file ({})",
                        backup_file);
      return false;
    }
    make_backup_ok = true;
  }
  auto content = serialize();
  std::ofstream f(storage_file);
  f << content;
  if (f.fail()) {
    common::log_error("Failed to sync, can not write data to storage file ({})",
                      storage_file);
    // revert storage file
    if (make_backup_ok) {
      boost::system::error_code ec{};
      fs::rename(backup_file, storage_file, ec);
      if (ec) {
        common::log_fatal(
            "Failed to sync, can not revert storage file ({}) from backup file "
            "({}), this is a unexpected fatal error",
            storage_file, backup_file);
      }
    }
    return false;
  }
  f.close();

  // sync filesystems
  if (common::file_sync(storage_file) && common::file_sync(backup_file)) {
    common::log_debug("Files are synchronized");
    return true;
  }

  return false;
}

void SysconfStorage::rollback() {
  boost::system::error_code ec{};
  fs::rename(backup_file, storage_file, ec);
  if (ec) {
    common::log_fatal("Can not revert storage file ({}) from backup file "
                      "({}), this is a unexpected fatal error",
                      storage_file, backup_file);
  }
}

GlobalDataStorage::GlobalDataStorage(std::string persistence_file)
    : SysconfStorage(std::move(persistence_file)) {
  {
    std::ifstream f(storage_file);
    if (f.is_open()) {
      std::stringstream ss;
      ss << f.rdbuf();
      data = json::parse(ss.str(), nullptr, false);
    }
  }
  if (!data.is_object()) {
    // try read backup file
    std::ifstream f(backup_file);
    if (f.is_open()) {
      std::stringstream ss;
      ss << f.rdbuf();
      data = json::parse(ss.str(), nullptr, false);
    }
    if (!data.is_object()) { // initialize an empty storage
      data = json();
      data["device_status"] = 0;
      data["ukey_list"] = json::object();
      sync();
    } else {
      sync(false);
    }
  }
  // simple check
  if (!data.contains("device_status") || !data.contains("ukey_list")) {
    common::log_fatal("Invalid sysconf storage content");
  }
}

std::string GlobalDataStorage::serialize() { return data.dump(); }

bool GlobalDataStorage::update_device_status(size_t device_status,
                                             bool sync_now) {
  data["device_status"] = device_status;

  IF_LIKELY(sync_now) { return sync(); }
  return true;
}

bool GlobalDataStorage::register_ukey(const std::string &ukey_info,
                                      bool sync_now) {
  json ukey_item;
  ukey_item["sn"] = ukey_info;
  ukey_item["time_us"] = get_time_us();
  data["ukey_list"][ukey_info] = std::move(ukey_item);

  IF_LIKELY(sync_now) { return sync(); }
  return true;
}

bool GlobalDataStorage::unregister_ukey(const std::string &ukey_info,
                                        bool sync_now) {
  data["ukey_list"].erase(ukey_info);

  IF_LIKELY(sync_now) { return sync(); }
  return true;
}

const json &GlobalDataStorage::get(const std::string &key) const {
  return data[key];
}

json &GlobalDataStorage::get(const std::string &key) { return data[key]; }

KeyValueConfStorage::KeyValueConfStorage(std::string persistence_file)
    : SysconfStorage(std::move(persistence_file)) {
  {
    std::ifstream f(storage_file);
    if (f.is_open()) {
      std::stringstream ss;
      ss << f.rdbuf();
      data = common::parse_config(ss.str());
    }
  }
  if (data.empty()) {
    // try read backup file
    std::ifstream f(backup_file);
    if (f.is_open()) {
      std::stringstream ss;
      ss << f.rdbuf();
      data = common::parse_config(ss.str());
    }
    // sync such valid backup data
    if (!data.empty()) {
      sync(false);
    }
  }
}

std::string KeyValueConfStorage::serialize() {
  if (data.empty()) {
    data["this_is_an_empty_config"] = "";
  }
  std::ostringstream ss;
  for (const auto &item : data) {
    ss << item.first << "=" << item.second << std::endl;
  }
  return ss.str();
}

bool KeyValueConfStorage::set(const std::string &key, const std::string &value,
                              bool sync_now) {
  data[key] = value;

  IF_LIKELY(sync_now) { return sync(); }
  return true;
}

const std::string &KeyValueConfStorage::get(const std::string &key) {
  return data[key];
}

} // namespace sys
} // namespace hsm

获取eth0和eth1的各种信息

任务

  • 梳理逻辑，画uml图

通用模型设计(补充)

  •  限制每个客户端最大并发数不超过3个(xshell终端)
  • iptables –A INPUT –p tcp --dport 22 –s 192.168.1.0/24 –m connlimt –connlimit-above 2 –j DROP
  • 限制速度（-m limit --limit匹配速率| --burst缓冲数量）
  • iptables –A INPUT –d 192.168.1.63 –m limit --limit 5/s --burst 100–j ACCEPT（在100个包内不限速，超过一百个包限制每秒只传5个包）
  • 查看当前的iptables的状态
  • 1，iptables -nL #默认查看filter表的状态，如果需要查看其他表的状态加上 -t 表名
  • 2，iptables -nL --line-numbers #可以列出序列号，数据的插入和删除和查看
  • 3，iptables -nL --line-numbers --verbose #可以查看到包过滤的流量统计，访问次数等
  • 还原配置
  • iptables-restore < /etc/sysconfig/iptables 
  • 限制单个IP一分钟内建立的连接数
  • iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 25 -j REJECT
  • 拒绝所有访问
  • iptables -A INPUT -j DROP #这个一般放到最后，不然会对前面的规则造成影响
  • 针对端口开放（需要指明协议）
  • iptables -I INPUT -p tcp --dport 22 -j ACCEPT
  • 针对协议开放
  • iptables -I INPUT -p imcp -j ACCEPT
  • 根据时段限制访问
  • iptables -A INPUT -p tcp -m time --timestart 00:00 --timestop 02:00 -j DROP #这里的时间是指UTC时间记得换算

2021年4月22日

注意事项

1，数据库存储 防火墙的规则，将先前的命令进行细分

iptables -A INPUT -p tcp -s 10.159.1.0/24 --dport 22 -j ACCEPT
  • 比如上述命令，字段细分 INPUT、目标设备(eth0/eth1)、端口 、跳转行为(-j) 、ACCEPT等

2，同理  也将上述字段 作为 函数的一个输入参数 

2021年4月23号

  • iptables -F #清除所有制定的规则
  • iptables -X#清除用户自定义的chain
  • iptables -Z#将所有流量统计归0
  • 但是并非执行后就万事大吉了。你仍然需要检查规则是不是真的清空了，因为有的linux发行版上这个命令不会清除NAT表中的规则，此时只能手动清除：iptables -t NAT -F
  • iptables工作原理及iptables命令行使用介绍
  • 只允许 mac地址为aa:bb:cc:dd:ee:ff 的机器访问本地ssh端口   iptables -A INPUT -m mac --mac-source aa:bb:cc:dd:ee:ff -p tcp --dport 22 -j ACCEPT

  

linux查看网卡的部分具体命令

  • /sbin/ifconfig | grep ether   ether是使用ifconfig查看到的网口信息，有些Linux发行版本的MAC地址字段为HWaddr，有些Linux发行版本的MAC地址字段为ether。根据实际情况选择上面命令

  • 如果想只提取网卡MAC地址，可以使用下面命令(用具体的网卡名替换xxx)      ifconfig xxx | grep -o -E '([[:xdigit:]]{1,2}:){5}[[:xdigit:]]{1,2}'

  •  cat /sys/class/net/xxx/address查看
  • dmesg | grep eth

 

和MAC有关的相关命令

  • 1、阻止MAC地址为XX:XX:XX:XX:XX:XX主机的所有通信：   iptables -A INPUT -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP
  • 2、允许MAC地址为XX:XX:XX:XX:XX:XX主机访问22端口：   iptables -A INPUT -p tcp --destination-port 22 -m mac --mac-source XX:XX:XX:XX:XX:XX -j ACCEPT

参考链接

配置参考

 

MY CUP OF TEA
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
java防火墙代码_防火墙基础(示例代码)
weixin_39897449的博客
02-13 1616
基础术语：网关：计算机的外部网卡便是连接到互联网的连接点，或称为网关 ( gateway )，也就是网络的关口私有IP地址：也就是不能在公网上使用的地址，只能在本地局域网使用，私有IP地址的出现时为了节省IP地址资源MTU：OSI 网络模型：应用层：提供各种应用接口和服务，常见的服务有：HTTP，HTTPS，FTP，POP3、SMTP表示层：提供各种用于应用层数据的编码和转换功能，确保应用层发送的...
防火墙代码
06-12
防火墙代码 病毒防护 进程监控 c++ 很适合学习
c++防火墙代码
最新发布
SYC20110120的博客
07-31 1063
这个防火墙类有一个构造函数，它需要一个允许的IP地址向量，并将其存储。它还有一个is_allowed()`方法，它接受一个IP地址，并将该地址与允许的地址进行比较。如果提供的IP是一个允许的IP，则返回true，否则返回false。在主函数中，我们实例化了一个防火墙对象并指定允许的IP地址。然后，我们要求用户提供一个IP地址，并使用`is_allowed()方法检查该地址是否允许访问。最后，我们输出一个访问授权或拒绝的消息。
信息安全实践2.5(防火墙设计实现)
沉在海里的鱼的博客
05-29 2292
这个实验其实就是之前网络编程一个实验，不过因为代码是拿老师的代码进行修改的，所以就没有写对应的博客。实验要求基于操作系统内核驱动，设计实现一个简单防火墙系统实验思路可以基于netfilter框架，编写内核防火墙模块（驱动）和用户态防火墙控制程序，实现服务协议、IP地址、端口等的控制和过滤。实验环境使用的虚拟机：VMware16中的Ubuntu2020使用的操作系统：Linux操作系统使用的语言：C语言[gcc (Ubuntu 11.1.0-1uUbuntu1-20.04) 11.1.0]
JAVA上百实例源码以及开源项目源代码
09-17
　Java绘制图片火焰效果，源代码相关注释：前景和背景Image对象、Applet和绘制火焰的效果的Image对象、Applet和绘制火焰的效果的Graphics对象、火焰效果的线程、Applet的高度,图片到图片装载器、绘制火焰效果的X坐标...
代码：TeaWeb Golang原始码
02-05
本文将深入探讨TeaWeb源码中的关键知识点。 1. **Go Modules**： - `go mod`是Golang 1.11引入的依赖管理工具，用于管理项目依赖关系。在TeaWeb v0.2.0及以后版本，项目结构已使用`go mod`重构，确保了模块化和...
大型网站架构演变和知识体系
05-12
最后，网站优化包括前端优化（如CDN加速、静态资源合并压缩、懒加载等）和后端优化（如数据库查询优化、代码重构等），旨在提升用户体验和系统性能。 总结起来，"大型网站架构演变和知识体系"是一个涵盖了系统设计...
漪潾资源网主机系统
06-26
下面我们将深入探讨与这个主题相关的多个知识点。 1. **主机系统**：主机系统是计算机网络中的一个重要组成部分，它指的是运行在网络上的服务器，用于托管网站、应用或其他服务。这里提到的"漪潾资源网主机系统...
学习笔记-Iptables
人饭子的博客
11-04 602
Iptables 什么是 iptables Linux 系统在内核中提供了对报文数据包过滤和修改的官方项目名为 Netfilter，它指的是 Linux 内核中的一个框架，它可以用于在不同阶段将某些钩子函数(hook)作用域网络协议栈。Netfilter 本身并不对数据包进行过滤，它只是允许可以过滤数据包或修改数据包的函数挂接到内核网络协议栈中的适当位置。这些函数是可以自定义的。 iptabl...
iptables 源码
07-09
iptables源码
iptables 源码分析
03-25
iptables 源码分析,无意中看到的,自己还没看上传备份下也许以后有用.
iptables防火墙详解
虎哥LoveDroid
02-16 1795
netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，iptables免费开源，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。iptables 是用来设置、维护和检查 Linux 内核的防火墙 IP 报文过滤规则和网络地址转换规则的。Linux 防火墙通常包含两部分,分别为 iptables 和 netfilter。iptables 是 Linux 管理防火墙规则的命令行工具,处于用户空间。
iptables简单防DDOS和cc
weixin_33810006的博客
10-11 71
由于最近为了上线的项目做好安全，害怕被对手有心搞，有必要简单防下DDOS和CC，公司资金的问题，现在由运维写个脚本来顶着用，只能简单防 一、查看IP连接数 [root@localhost shell]# cat iptables-cc-ip #!/bin/bash num=100 //设置最高连接的值 IP=`netstat -an |g...
ebtables介绍【转】
Uaena的博客
05-25 2695
（转自：https://blog.csdn.net/kv110/article/details/47919913） ebtables是与iptables类似的命令， 区别在于ebtables用于对以太网帧的过滤，iptables用于对ip数据包的过滤。 过滤流程见图 1. 命令格式 ebtables [-t table ] -[ACDI] chain rule specification [match extensions] [watcher extensions] target ebtable
ebtables 用法
xl365t
06-02 5535
ebtables是一个用于设置和维护以太网帧(Ethernet frames)规则表的应用程序。 其中有三个主要的概念：表（tables）、链（chains）、目标（targets） # 链（chains） 每组规则称为链，每个链都是一个有序的规则列表，可以匹配以太网帧。 如果一个规则匹配到一个以太网帧，那么有一个处理规范告诉我们如何匹配到的帧，这个处理规范称为目标（targe
C语言-fgets()篇2
编程小菜
11-11 1156
前面写过一篇fgets()从键盘获取数据然后输出到屏幕上，现在用fgets()来将从键盘获得数据然后写入到文件当中，先贴代码。 #include #include #include #define MaxSize 20 #define true 1 void main() { char *proverbs[]= { "Many a mickle makes a muckle.\n",
代码重构：理论与实战
"《产品中的代码重构》是耿卓在2021年8月27日分享的一份关于代码重构理论与实践的文档。主要内容包括重构的介绍、重构的目的、重构的时机以及一系列常见的重构方法，如提炼函数、引入解释性变量、搬移函数和字段等。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值