☰

UFW：仅允许来自具有动态 IP 地址的域的流量

tag-icon • tag-icon security firewall ufw dynamic-dns
UFW：仅允许来自具有动态 IP 地址的域的流量

我运行一个 VPS，我想使用 UFW 来保护它，只允许连接到端口 80。但是，为了能够远程管理它，我需要保持端口 22 开放并使其可以从家里访问。

我知道 UFW 可以配置为仅允许从特定 IP 地址连接到端口：

ufw allow proto tcp from 123.123.123.123 to any port 22

但我的IP地址是动态的，所以这还不是解决方案。

问题是：我使用 DynDNS 进行动态 DNS 解析，那么是否可以使用域而不是 IP 创建规则？

我已经尝试过这个：

ufw allow proto tcp from mydomain.dyndns.org to any port 22

但我得到了ERROR: Bad source address

答案1

我不相信这是可能的ufw。ufw只是一个前端，iptables也缺少此功能，因此一种方法是创建一个 crontab 条目，该条目将定期运行并检查 IP 地址是否已更改。如果有那么它会更新它。

您可能会想这样做：

$ iptables -A INPUT -p tcp --src mydomain.dyndns.org --dport 22 -j ACCEPT

但这会将主机名解析为 IP 并将其用于规则，因此如果 IP 稍后更改，则此规则将无效。

另类想法

您可以创建一个像这样的脚本，称为iptables_update.bash.

#!/bin/bash
#allow a dyndns name

HOSTNAME=HOST_NAME_HERE
LOGFILE=LOGFILE_NAME_HERE

Current_IP=$(host $HOSTNAME | cut -f4 -d' ')

if [ $LOGFILE = "" ] ; then
  iptables -I INPUT -i eth1 -s $Current_IP -j ACCEPT
  echo $Current_IP > $LOGFILE
else

  Old_IP=$(cat $LOGFILE)

  if [ "$Current_IP" = "$Old_IP" ] ; then
    echo IP address has not changed
  else
    iptables -D INPUT -i eth1 -s $Old_IP -j ACCEPT
    iptables -I INPUT -i eth1 -s $Current_IP -j ACCEPT
    /etc/init.d/iptables save
    echo $Current_IP > $LOGFILE
    echo iptables have been updated
  fi
fi

来源：将 IPTables 与动态 IP 主机名（例如 dyndns.org）一起使用

保存此脚本后，您可以在文件中创建一个 crontab 条目，如下所示/etc/crontab：

*/5 * * * * root /etc/iptables_update.bash > /dev/null 2>&1

然后，该条目将每 5 分钟运行一次脚本，检查分配给主机名的 IP 地址是否已更改。如果是这样，它将创建一条允许它的新规则，同时删除旧 IP 地址的旧规则。

答案2

我知道这很旧，但我遇到了它并最终得到了这个解决方案，这似乎更好，因为不需要日志文件，并且很容易根据需要添加其他主机。奇迹般有效！

来源： http://rdstash.blogspot.ch/2013/09/allow-host-with-dynamic-ip-through.html

#!/bin/bash

DYNHOST=$1
DYNHOST=${DYNHOST:0:28}
DYNIP=$(host $DYNHOST | grep -iE "[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+" |cut -f4 -d' '|head -n 1)

# Exit if invalid IP address is returned
case $DYNIP in
0.0.0.0 )
exit 1 ;;
255.255.255.255 )
exit 1 ;;
esac

# Exit if IP address not in proper format
if ! [[ $DYNIP =~ (([0-9]|[1-9][0-9]|1[0-9]{2}|2[0-4][0-9]|25[0-5])\.){3}([0-9]|[1-9][0-9]|1[0-9]{2}|2[0-4][0-9]|25[0-5]) ]]; then
exit 1
fi

# If chain for remote doesn't exist, create it
if ! /sbin/iptables -L $DYNHOST -n >/dev/null 2>&1 ; then
/sbin/iptables -N $DYNHOST >/dev/null 2>&1
fi

# Check IP address to see if the chain matches first; skip rest of script if update is not needed
if ! /sbin/iptables -n -L $DYNHOST | grep -iE " $DYNIP " >/dev/null 2>&1 ; then


# Flush old rules, and add new
/sbin/iptables -F $DYNHOST >/dev/null 2>&1
/sbin/iptables -I $DYNHOST -s $DYNIP -j ACCEPT

# Add chain to INPUT filter if it doesn't exist
if ! /sbin/iptables -C INPUT -t filter -j $DYNHOST >/dev/null 2>&1 ; then
/sbin/iptables -t filter -I INPUT -j $DYNHOST
fi

fi

答案3

根据之前的答案，我将以下内容更新为适用于 Debian Jessie 的 bash 脚本

#!/bin/bash
HOSTNAME=dynamichost.domain.com
LOGFILE=$HOME/ufw.log
Current_IP=$(host $HOSTNAME | head -n1 | cut -f4 -d ' ')

if [ ! -f $LOGFILE ]; then
    /usr/sbin/ufw allow from $Current_IP to any port 22 proto tcp
    echo $Current_IP > $LOGFILE
else

    Old_IP=$(cat $LOGFILE)
    if [ "$Current_IP" = "$Old_IP" ] ; then
        echo IP address has not changed
    else
        /usr/sbin/ufw delete allow from $Old_IP to any port 22 proto tcp
        /usr/sbin/ufw allow from $Current_IP to any port 22 proto tcp
        echo $Current_IP > $LOGFILE
        echo iptables have been updated
    fi
fi

答案4

这是一个 python 版本，如果主机名解析为多个端点（ufw），它可以添加或删除 ipv4 和 ipv6 规则。请注意，我的场景略有不同，因为我从“允许一切”配置文件开始。

基于蒂姆·肯尼迪和马蒂亚斯·佩特森的版本

#!/usr/bin/env python

# Only allow a particular HOSTNAME to access the given port...

# from https://unix.stackexchange.com/a/534117/66983
# and https://unix.stackexchange.com/a/91711/66983
# If the ufw table is empty you might need to execute the script twice (as inserting on top will not work properly)
# crontab -e and add '*/5 * * * * root /path/to/update_ufw.py > /dev/null 2>&1'
HOSTNAME="<hostname>"
PORT=<port>

import os
import subprocess

if os.geteuid() != 0:
    print("This script must be run as root")
    exit(1)

def run(cmd):
    process = subprocess.Popen(['bash', '-c', cmd],
                     stdout=subprocess.PIPE)
    stdout, stderr = process.communicate()
    return stdout.decode('utf-8')

new_ip_output = run("getent ahosts \"{}\" | awk '{{ print $1 }}'".format(HOSTNAME))
new_ips=set(new_ip_output.split())
old_ip_output = run("/usr/sbin/ufw status | grep {} | head -n1 | tr -s ' ' | cut -f3 -d ' '".format(HOSTNAME))
old_ips=set(old_ip_output.split())


if old_ips == new_ips:
    print ("All IPs still OK.")
else:
    # add new IPs
    for new_ip in new_ips:
        if new_ip not in old_ips:
            out = run("/usr/sbin/ufw insert 1 allow from {} to any port {} comment {}".format(new_ip, PORT, HOSTNAME))
            print(out)
    
    # remove old IPs
    for old_ip in old_ips:
         if old_ip not in new_ips:
            out = run("/usr/sbin/ufw delete allow from {} to any port {}".format(old_ip, PORT))
            print(out)
    
    # add deny rule
    out = run("/usr/sbin/ufw deny {}".format(PORT))
    print(out)

相关内容