5

Имеется сервер на Ubuntu Linux. На сервере крутится демон с именем, например, daemon_bin. Демон слушает сетевой порт, но этот порт в общем случае неизвестен. Можно считать, что прослушиваемый порт открывается по запросу и имеет случайный номер.

Можно ли добавить в iptables правило, которое будет пропускать входящие соединения только в том случае, когда они адресованы этому демону?

P.S. Предложения дать демону определённый диапазон портов и разрешить входящие для этого диапазона не предлагать. Отключение файрвола также не вариант.

6
  • В принципе есть модуль owner, который позволяет по uid/gid процесса определять трафик. но он только на OUTPUT работает, так что полуоткрытые соединения от левых машин скорее всего будут задерживаться.
    – Mike
    16 фев 2016 в 14:26
  • Еще как вариант сделать скрипт который включить в стартовые скрипты демона, который определит порт и добавит правило. Но тогда вопрос как удалять старые правила при перезапуске демода ил не дай бог если он порт меняет на ходу
    – Mike
    16 фев 2016 в 14:31
  • @Mike owner смотрел. Он только на выход, как я понял. Порт определить не получится, демон его меняет в процессе работы. Динамический, зараза!
    – user194374
    16 фев 2016 в 14:43
  • 1
    Вообще его все и предлагают. stackoverflow.com/questions/4314163/… Что то установилось TCP соединение надо что бы прошел двухсторонний обмен. Теоретически ответные пакеты от сервиса пройдут через OUTPUT и их заблочат или пропустят. Но если заблочить ответные пакеты мне кажется могут начать подвисать полуоткрытые соединения, как я писал выше. В общем я бы предложил попробовать. Разумеется на INPUT при этом придется разрешить все входящие TCP, а на OUTPUT заблочить все лишнее. Для тестов можете дианазон некий открыть и попробовать посоединятся
    – Mike
    16 фев 2016 в 15:17
  • Не могу сообразить, а как клиенты к демону подключаются, если порт заранее не известен? 16 фев 2016 в 18:46

1 ответ 1

4
+500

Если я понял, то доступа к сорцам скрипта нет. Поэтому, нужно действовать в обход. Для начала берем ltrace (или, возможно, strace) и запускаем приложение под ним. Если только там ничего не перестарались, то приложение будет дергать библиотечнык функции для открытия/закрытия сокетов. Убеждаемся, что вызовы проходят. Например, для бинда порта ожидается увидеть где то такое

bind(3, 0x7ffd828bc018, 16, 8080)  = 0

теперь нужно будет найти "парные вызовы". Скорее всего это будет listen/close или bind/close.

Следующий этап - код. Берем любой пример, который показывает, как перехватывать вызовы к сокетам, я нашел здесь и оставляем только нужные нам вызовы. В "открывающей функции" можно подсмотреть номер порта и дескриптор сокета (это первое число). Сохраняем эту пару где нибудь себе (в хеш, в файл, в базу) и вызываем iptables, что бы он открыл нужный порт. В закрывающей функции по дескриптору находим порт и закрываем правило в iptables. В результате будет одна so'шка, которая будет подгружаться через LD_PRELOAD.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.