[建議] wdcp v3后臺iptables管理存在bug

toudu

今天偶然發(fā)現(xiàn)后臺對iptables的讀取有點問題。

我在后臺連接數(shù)管理哪里封殺了幾個ip，之后在iptables那里是顯示出這幾個ip的。

但我在這里添加幾個ip段之后，在系統(tǒng)的iptables文件里面實際上已經(jīng)更新，但是在wdcp后臺的這個iptables這里還是原來的規(guī)則。

我在ssh手動修改了iptables，在wdcp后臺還是不現(xiàn)實最新的規(guī)則

請問這是怎樣問題，應當不是權限問題。wdcp對于iptables是可讀可寫的。

但是不現(xiàn)實最新的規(guī)則，這個應當是哪里存在bug，我把規(guī)則貼出來，大家可以幫忙看看

1. # Generated by iptables-save v1.4.21 on Sun Jan 22 08:22:54 2017
   
2. *filter
   
3. :INPUT ACCEPT [0:0]
   
4. :FORWARD ACCEPT [0:0]
   
5. :OUTPUT ACCEPT [37884:13843179]
   
6. -A INPUT -s 45.76.114.0/24 -j DROP
   
7. -A INPUT -s 45.76.74.0/24 -j DROP
   
8. -A INPUT -s 108.61.207.0/24 -j DROP
   
9. -A INPUT -s 45.76.74.43/32 -p tcp -j DROP
   
10. -A INPUT -s 108.61.207.136/32 -p tcp -j DROP
    
11. -A INPUT -s 45.76.114.163/32 -p tcp -j DROP
    
12. -A INPUT -d 108.61.207.0/24 -p tcp -j DROP
    
13. -A INPUT -d 108.61.207.0/24 -p tcp -j DROP
    
14. -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
    
15. -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
    
16. -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
    
17. -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
    
18. -A INPUT -p tcp -m tcp --dport 20000:20500 -m state --state NEW -j ACCEPT
    
19. -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
    
20. -A INPUT -p icmp -j ACCEPT
    
21. -A INPUT -i lo -j ACCEPT
    
22. -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
    
23. -A INPUT -j REJECT --reject-with icmp-host-prohibited
    
24. -A FORWARD -j REJECT --reject-with icmp-host-prohibited
    
25. COMMIT
    
26. # Completed on Sun Jan 22 08:22:54 2017

復制代碼

-A INPUT -s 45.76.74.43/32 -p tcp -j DROP
-A INPUT -s 108.61.207.136/32 -p tcp -j DROP
-A INPUT -s 45.76.114.163/32 -p tcp -j DROP
這三條規(guī)則是通過wdcp后臺添加的，可以顯示

-A INPUT -s 45.76.114.0/24 -j DROP
-A INPUT -s 45.76.74.0/24 -j DROP
-A INPUT -s 108.61.207.0/24 -j DROP
這三條規(guī)則，如論我是通過wdcp后臺添加還是通過sh添加都不顯示，開始我還以為沒有添加成功，后臺通過ssh查看才發(fā)現(xiàn)已經(jīng)添加成功，但是wdcp后臺沒有顯示。

多謝

toudu

從后臺添加iptables規(guī)則，從ssh看添加成功，但是為何在wdcp后臺不顯示，有哪位清楚原因嗎？

toudu

基本上可以確定是wdcp的bug了

下載 (21.93 KB)

2017-1-22 11:55

下載 (18.15 KB)

2017-1-22 11:55

wdcp只讀取參數(shù)為-s的規(guī)則，但是添加的時候設置的規(guī)則均為-d。

這就是為何wdcp后臺不顯示剛剛添加的規(guī)則的原因，請老大明察�。�

toudu

下載 (18.86 KB)

2017-1-22 11:59

我剛剛修改-d為-s，然后重啟iptables，
-A INPUT -s 108.61.207.136/32 -p tcp -j DROP
可以顯示出來了。

難道是必須要重啟iptables才能顯示最新的？

toudu

已經(jīng)確認了，我剛剛把-s修改-d，重啟iptables不現(xiàn)實。

那么iptbles在后臺顯示必須符合兩個原則：
1，input的參數(shù)必須為-s，但是在后臺添加規(guī)則這個參數(shù)是-d，所以不顯示該規(guī)則。
2，必須重啟iptables，wdcp才會顯示規(guī)則，添加規(guī)則后能否自動重啟iptables，不然不能顯示剛剛添加的規(guī)則。

請老大修正這個問題，讓iptables能夠即時顯示添加的IP規(guī)則�。。。�

toudu

在我的印象里面v2，沒有這個問題，是即時顯示的！

老大，這究竟是一個什么情況？

admin

wdcp是顯示實時生效的規(guī)則，如果只是修改的文件，沒重起，實際上，是沒有生效的
或是說，在下次重起前，是沒有生效的

bit

我也發(fā)現(xiàn)了這個問題，其實iptables文件已經(jīng)有規(guī)則了；但是wdcp不會顯示，重啟后也不顯示；樓主研究的深入了。

toudu

回復 7# admin


老大，現(xiàn)在我們添加規(guī)則那個參數(shù)確實是-d哦，我修改為-s之后，wdcp后臺才能顯示這個規(guī)則。
您的這個wdcp后臺應當是調用的臨時iptables，對吧，只有在點擊“保存”之后，才會執(zhí)行service iptables save，對吧？

希望能夠添加規(guī)則之后在wdcp能夠馬上顯示，這樣才知道有沒有添加成功，不然又要去ssh查看才行。

另外執(zhí)行service iptables save沒問題，那么在“保存”之后執(zhí)行sercice iptables restart應當也是沒問題的吧。

看看能否設置一個重啟iptables的連接，這樣點擊保存之后，從wdcp就可以重啟iptables，而不用去ssh。

對iptables規(guī)則的讀寫應當是目前最重要的問題吧。

多謝老大的好作品！

toudu

我剛剛看了iptables的這兩個參數(shù)。
-s -source [!] address[/mask]
指定源地址，可以是主機名、網(wǎng)絡名和清楚的IP地址。mask說明可以是網(wǎng)絡掩碼或清楚的數(shù)字，在網(wǎng)絡掩碼的左邊指定網(wǎng)絡掩碼左邊"1"的個數(shù)，因此， mask值為24等于255.255.255.0。在指定地址前加上"!"說明指定了相反的地址段。標志 --src 是這個選項的簡寫。

-d --destination [!] address[/mask]
指定目標地址，要獲取詳細說明請參見 -s標志的說明。標志 --dst 是這個選項的簡寫。

添加規(guī)則用-s參數(shù)應當更為靈活

toudu

回復 7# admin


老大，我剛剛仔細想了一下，確實是你說的這樣，如果在后臺禁止ip訪問，在wdcp是馬上顯示的！
但是手動添加iptables規(guī)則之后，wdcp并沒有馬上顯示該規(guī)則，必須要手動修改-d為-s，并重啟iptables之后才能顯示。

看看這個iptables的規(guī)則管理這里能不能更完美一點

辛苦

恭祝新春快樂！

bit

關注下該貼 樓主的問題也是我關心的問題；希望老大完善下產品細節(jié)，wdcp帶我入門linux，贊一下。

toudu

還有關注這個問題嗎？