iptables 端口屏蔽策略详解

#!/bin/bash

# 定义需要进行访问控制的端口列表。
# 例如，这里我们管理 25 (SMTP) 和 80 (HTTP) 端口。
port_list=(
25
80
)

# 为 port_list 中的每个端口定义对应的协议。
# 数组下标需要与 port_list 一一对应。
protocl_list=(
tcp
tcp
)

# 函数：添加防火墙规则
add_input_action(){
    # 遍历 port_list 中的每一个端口。
    for (( i = 0; i < ${#port_list[@]}; i++ )); do
        # 遍历所有作为参数传入的白名单 IP 地址或 CIDR。
        # 注意：循环从 j=1 开始，因为 param_list[0] 是操作指令 ('add' 或 'delete')。
        for (( j = 1; j < ${#param_list[@]}; j++ )); do
            # 获取 IP 地址或 CIDR。
            clusterpod_cidr=${param_list[$j]}
			# 检查 /etc/sysconfig/iptables 文件中是否已存在针对此 IP 和端口的 ACCEPT 规则。
			check_ip_exist=$(cat /etc/sysconfig/iptables | grep -w "${clusterpod_cidr} " | grep ${protocl_list[$i]} | grep -w ${port_list[$i]})
			# 如果规则不存在，则添加它。
			if [ -z "${check_ip_exist}" ];then
			    # 在 :OUTPUT ACCEPT 链定义之后插入 ACCEPT 规则。
			    # 这条规则允许来自指定 IP/CIDR 的流量访问指定的端口和协议。
                # 示例：sed -i "/:OUTPUT ACCEPT/a\-I INPUT -s 1.2.3.4 -p tcp --dport 80 -j ACCEPT" /etc/sysconfig/iptables
			    sed -i "/:OUTPUT ACCEPT/a\-I INPUT -s ${clusterpod_cidr} -p ${protocl_list[$i]} --dport ${port_list[$i]} -j ACCEPT"   /etc/sysconfig/iptables
			fi
        done
		
        # 为某个端口添加完所有白名单IP的 ACCEPT 规则后，追加一条默认的拒绝/丢弃规则。
        if [[ ${protocl_list[$i]} == "tcp" ]]; then
            # 对于 TCP 协议，检查是否已存在针对此端口的 REJECT 规则。
            check_tcp_exist=$(cat /etc/sysconfig/iptables | grep reject-with | grep tcp | grep -w ${port_list[$i]})
			# 如果 REJECT 规则不存在，则添加它。
			if [ -z "${check_tcp_exist}" ];then
			    # 追加一条规则，拒绝所有其他访问此 TCP 端口的流量，并返回 tcp-reset。
                # 示例：sed -i "/:OUTPUT ACCEPT/a\-A INPUT -p tcp --dport 80 -j REJECT --reject-with tcp-reset" /etc/sysconfig/iptables
			    sed -i "/:OUTPUT ACCEPT/a\-A INPUT -p ${protocl_list[$i]} --dport ${port_list[$i]} -j REJECT --reject-with tcp-reset"   /etc/sysconfig/iptables
			fi
        else
            # 对于其他协议（此处假定为 UDP），检查是否已存在 DROP 规则。
            check_udp_exist=$(cat /etc/sysconfig/iptables | grep DROP | grep udp | grep -w ${port_list[$i]})
			# 如果 DROP 规则不存在，则添加它。
			if [ -z "${check_udp_exist}" ];then
                # 追加一条规则，静默丢弃所有其他访问此 UDP 端口的流量。
                # 示例：sed -i "/:OUTPUT ACCEPT/a\-A INPUT -p udp --dport 53 -j DROP" /etc/sysconfig/iptables
                sed -i "/:OUTPUT ACCEPT/a\-A INPUT -p ${protocl_list[$i]} --dport ${port_list[$i]} -j DROP"   /etc/sysconfig/iptables
			fi
        fi
    done
    # 重启并启用 iptables 服务，使新规则生效。
	systemctl restart iptables.service
	systemctl enable iptables.service
}

# 函数：删除防火墙规则
delete_input_action(){
    # 遍历 port_list 中的每一个端口。
    for (( i = 0; i < ${#port_list[@]}; i++ )); do
        # 遍历所有作为参数传入的 IP 地址或 CIDR。
        for (( j = 1; j < ${#param_list[@]}; j++ )); do
            # 获取 IP 地址或 CIDR。
            clusterpod_cidr=${param_list[$j]}
            # 检查是否存在针对此 IP 和端口的 ACCEPT 规则。
            check_ip_exist=$(cat /etc/sysconfig/iptables | grep -w "${clusterpod_cidr} " | grep ${protocl_list[$i]} | grep -w ${port_list[$i]})
			# 如果规则存在，则删除它。
			if [ ! -z "${check_ip_exist}" ];then
			    # 此处的 sed 命令存在风险，它会删除任何包含该 IP/CIDR 和 "-p" 的行，可能误删其他规则。
                # 示例：要删除IP为 1.2.3.4 的规则，命令会是 sed -i "/1.2.3.4 \-p/d" /etc/sysconfig/iptables
                # 这可能意外删除该IP的其他端口规则。
			    sed -i "/${clusterpod_cidr} \-p/d"   /etc/sysconfig/iptables
            fi
        done
    done
    # 重启并启用 iptables 服务以应用变更。
	systemctl restart iptables.service
    systemctl enable iptables.service
}

# 将所有命令行参数存储到一个数组中。
param_list=($*)

# 检查参数数量是否少于2 (必须包含 'add'/'delete' 操作 和至少一个 IP)。
if [[ $# -lt 2 ]]; then
    # 如果参数不足，打印用法信息。
    echo "例如: bash config_port_filter.sh add 10.233.0.0/16 100.2.126.0/24"
    echo "例如: bash config_port_filter.sh delete 10.233.0.0/16 100.2.126.0/24"
    # 以错误码退出。
    exit 1
fi

# 第一个参数必须是 'add' 或 'delete'。
if [[ "$1" != "add" && "$1" != "delete" ]]; then
    # 如果操作无效，打印错误信息。
    echo "$0: 第一个参数 '$1' 必须是 'add' 或 'delete'"
    # 以错误码退出。
    exit 1
fi

# 根据第一个参数调用相应的函数。
if [ "$1" == "add" ]; then
    add_input_action
else
    delete_input_action
fi

# 这是一个 iptables 服务的示例配置文件。
# 它可以被手动编辑，也可以由 system-config-firewall 等工具管理。
# 不应在此处修改默认配置来添加额外的服务。
# 'filter' 表的开始，这是防火墙规则的默认表。
*filter
# 定义 INPUT 链策略。ACCEPT 表示默认允许所有传入流量。[0:0] 是数据包和字节计数器。
:INPUT ACCEPT [0:0]
# 定义 FORWARD 链策略。ACCEPT 表示默认允许所有转发流量。
:FORWARD ACCEPT [0:0]
# 定义 OUTPUT 链策略。ACCEPT 表示默认允许所有传出流量。
:OUTPUT ACCEPT [0:0]
# 提交 'filter' 表中的规则。
COMMIT