[建議] wdcp v3后臺(tái)iptables管理存在bug

toudu

今天偶然發(fā)現(xiàn)后臺(tái)對(duì)iptables的讀取有點(diǎn)問(wèn)題。

我在后臺(tái)連接數(shù)管理哪里封殺了幾個(gè)ip，之后在iptables那里是顯示出這幾個(gè)ip的。

但我在這里添加幾個(gè)ip段之后，在系統(tǒng)的iptables文件里面實(shí)際上已經(jīng)更新，但是在wdcp后臺(tái)的這個(gè)iptables這里還是原來(lái)的規(guī)則。

我在ssh手動(dòng)修改了iptables，在wdcp后臺(tái)還是不現(xiàn)實(shí)最新的規(guī)則

請(qǐng)問(wèn)這是怎樣問(wèn)題，應(yīng)當(dāng)不是權(quán)限問(wèn)題。wdcp對(duì)于iptables是可讀可寫(xiě)的。

但是不現(xiàn)實(shí)最新的規(guī)則，這個(gè)應(yīng)當(dāng)是哪里存在bug，我把規(guī)則貼出來(lái)，大家可以幫忙看看

1. # Generated by iptables-save v1.4.21 on Sun Jan 22 08:22:54 2017
   
2. *filter
   
3. :INPUT ACCEPT [0:0]
   
4. :FORWARD ACCEPT [0:0]
   
5. :OUTPUT ACCEPT [37884:13843179]
   
6. -A INPUT -s 45.76.114.0/24 -j DROP
   
7. -A INPUT -s 45.76.74.0/24 -j DROP
   
8. -A INPUT -s 108.61.207.0/24 -j DROP
   
9. -A INPUT -s 45.76.74.43/32 -p tcp -j DROP
   
10. -A INPUT -s 108.61.207.136/32 -p tcp -j DROP
    
11. -A INPUT -s 45.76.114.163/32 -p tcp -j DROP
    
12. -A INPUT -d 108.61.207.0/24 -p tcp -j DROP
    
13. -A INPUT -d 108.61.207.0/24 -p tcp -j DROP
    
14. -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
    
15. -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
    
16. -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
    
17. -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
    
18. -A INPUT -p tcp -m tcp --dport 20000:20500 -m state --state NEW -j ACCEPT
    
19. -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
    
20. -A INPUT -p icmp -j ACCEPT
    
21. -A INPUT -i lo -j ACCEPT
    
22. -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
    
23. -A INPUT -j REJECT --reject-with icmp-host-prohibited
    
24. -A FORWARD -j REJECT --reject-with icmp-host-prohibited
    
25. COMMIT
    
26. # Completed on Sun Jan 22 08:22:54 2017

復(fù)制代碼

-A INPUT -s 45.76.74.43/32 -p tcp -j DROP
-A INPUT -s 108.61.207.136/32 -p tcp -j DROP
-A INPUT -s 45.76.114.163/32 -p tcp -j DROP
這三條規(guī)則是通過(guò)wdcp后臺(tái)添加的，可以顯示

-A INPUT -s 45.76.114.0/24 -j DROP
-A INPUT -s 45.76.74.0/24 -j DROP
-A INPUT -s 108.61.207.0/24 -j DROP
這三條規(guī)則，如論我是通過(guò)wdcp后臺(tái)添加還是通過(guò)sh添加都不顯示，開(kāi)始我還以為沒(méi)有添加成功，后臺(tái)通過(guò)ssh查看才發(fā)現(xiàn)已經(jīng)添加成功，但是wdcp后臺(tái)沒(méi)有顯示。

多謝

toudu

還有關(guān)注這個(gè)問(wèn)題嗎？

bit

關(guān)注下該貼 樓主的問(wèn)題也是我關(guān)心的問(wèn)題；希望老大完善下產(chǎn)品細(xì)節(jié)，wdcp帶我入門(mén)linux，贊一下。

toudu

回復(fù) 7# admin


老大，我剛剛仔細(xì)想了一下，確實(shí)是你說(shuō)的這樣，如果在后臺(tái)禁止ip訪問(wèn)，在wdcp是馬上顯示的！
但是手動(dòng)添加iptables規(guī)則之后，wdcp并沒(méi)有馬上顯示該規(guī)則，必須要手動(dòng)修改-d為-s，并重啟iptables之后才能顯示。

看看這個(gè)iptables的規(guī)則管理這里能不能更完美一點(diǎn)

辛苦

恭祝新春快樂(lè)！

toudu

我剛剛看了iptables的這兩個(gè)參數(shù)。
-s -source [!] address[/mask]
指定源地址，可以是主機(jī)名、網(wǎng)絡(luò)名和清楚的IP地址。mask說(shuō)明可以是網(wǎng)絡(luò)掩碼或清楚的數(shù)字，在網(wǎng)絡(luò)掩碼的左邊指定網(wǎng)絡(luò)掩碼左邊"1"的個(gè)數(shù)，因此， mask值為24等于255.255.255.0。在指定地址前加上"!"說(shuō)明指定了相反的地址段。標(biāo)志 --src 是這個(gè)選項(xiàng)的簡(jiǎn)寫(xiě)。

-d --destination [!] address[/mask]
指定目標(biāo)地址，要獲取詳細(xì)說(shuō)明請(qǐng)參見(jiàn) -s標(biāo)志的說(shuō)明。標(biāo)志 --dst 是這個(gè)選項(xiàng)的簡(jiǎn)寫(xiě)。

添加規(guī)則用-s參數(shù)應(yīng)當(dāng)更為靈活

toudu

回復(fù) 7# admin


老大，現(xiàn)在我們添加規(guī)則那個(gè)參數(shù)確實(shí)是-d哦，我修改為-s之后，wdcp后臺(tái)才能顯示這個(gè)規(guī)則。
您的這個(gè)wdcp后臺(tái)應(yīng)當(dāng)是調(diào)用的臨時(shí)iptables，對(duì)吧，只有在點(diǎn)擊“保存”之后，才會(huì)執(zhí)行service iptables save，對(duì)吧？

希望能夠添加規(guī)則之后在wdcp能夠馬上顯示，這樣才知道有沒(méi)有添加成功，不然又要去ssh查看才行。

另外執(zhí)行service iptables save沒(méi)問(wèn)題，那么在“保存”之后執(zhí)行sercice iptables restart應(yīng)當(dāng)也是沒(méi)問(wèn)題的吧。

看看能否設(shè)置一個(gè)重啟iptables的連接，這樣點(diǎn)擊保存之后，從wdcp就可以重啟iptables，而不用去ssh。

對(duì)iptables規(guī)則的讀寫(xiě)應(yīng)當(dāng)是目前最重要的問(wèn)題吧。

多謝老大的好作品！

bit

我也發(fā)現(xiàn)了這個(gè)問(wèn)題，其實(shí)iptables文件已經(jīng)有規(guī)則了；但是wdcp不會(huì)顯示，重啟后也不顯示；樓主研究的深入了。

admin

wdcp是顯示實(shí)時(shí)生效的規(guī)則，如果只是修改的文件，沒(méi)重起，實(shí)際上，是沒(méi)有生效的
或是說(shuō)，在下次重起前，是沒(méi)有生效的

toudu

在我的印象里面v2，沒(méi)有這個(gè)問(wèn)題，是即時(shí)顯示的！

老大，這究竟是一個(gè)什么情況？

toudu

已經(jīng)確認(rèn)了，我剛剛把-s修改-d，重啟iptables不現(xiàn)實(shí)。

那么iptbles在后臺(tái)顯示必須符合兩個(gè)原則：
1，input的參數(shù)必須為-s，但是在后臺(tái)添加規(guī)則這個(gè)參數(shù)是-d，所以不顯示該規(guī)則。
2，必須重啟iptables，wdcp才會(huì)顯示規(guī)則，添加規(guī)則后能否自動(dòng)重啟iptables，不然不能顯示剛剛添加的規(guī)則。

請(qǐng)老大修正這個(gè)問(wèn)題，讓iptables能夠即時(shí)顯示添加的IP規(guī)則！�。�！

toudu

下載 (18.86 KB)

2017-1-22 11:59

我剛剛修改-d為-s，然后重啟iptables，
-A INPUT -s 108.61.207.136/32 -p tcp -j DROP
可以顯示出來(lái)了。

難道是必須要重啟iptables才能顯示最新的？

toudu

基本上可以確定是wdcp的bug了

下載 (21.93 KB)

2017-1-22 11:55

下載 (18.15 KB)

2017-1-22 11:55

wdcp只讀取參數(shù)為-s的規(guī)則，但是添加的時(shí)候設(shè)置的規(guī)則均為-d。

這就是為何wdcp后臺(tái)不顯示剛剛添加的規(guī)則的原因，請(qǐng)老大明察��！

toudu

從后臺(tái)添加iptables規(guī)則，從ssh看添加成功，但是為何在wdcp后臺(tái)不顯示，有哪位清楚原因嗎？