CFC,全称为Centralized Firewall Control,即中心化防火墙控制,该工具给广大研究人员提供了一种中心化的方法来管理运行了iptable的多台服务器或多个负载均衡器上的防火墙。这样一来,我们就可以通过一条命令快速在多个服务器上进行防火墙管理了。需要注意的是,该工具主要通过SSH来访问服务器/防火墙。
当前版本的CFC同时支持IPv4和IPv6,并在Debian 6.x / 7.x / 8.x / 9.x等发行版操作系统上进行过测试。
如果需要使用针对IPv6的“precheck”、“protected”和“findip”等功能的话,还需要安装“netaddr” Python模块。IPv4还不需要使用该模块,因为该工具针对二进制IP地址使用的是前缀匹配方法。
netaddr模块的安装命令如下(Debian):
apt-get install python3-netaddr
ipset可用于管理iptables可以引用和使用的列表。这可以更快地工作,并且列表的操作也更灵活,是使用此脚本的首选方法。ipset模块的安装命令如下(Debian):
apt-get-install-ipset
由于此脚本使用ssh连接到给定的服务器,因此在使用之前必须存在相应的访问连接。
广大研究人员可以使用下列命令将该项目源码克隆至本地:
git clone https://github.com/LeonBroseliske/CFC.git
首先,将工具配置样例文件cfc.cfg-example文件改名为cfc.cfg。接下来,可以按照需求修改配置文件。可使用的配置参数如下:
注意:当使用以下命令输入单个IP/地址范围时,请使用CIDR表示法。
add:
cfc.sh add n.n.n.n/NN '<optional comment>'
cfc6.sh add <IPv6_address_range> '<optional comment>'
(向右滑动,查看更多)
将给定IP(范围)添加到防火墙,并为来自该源的所有流量配置操作。默认情况下使用当前日期进行注释,可以使用单引号添加可选注释,以添加该范围的原因或所有者。
addstring:
cfc.sh addstring <protocol>:<dport> <string>
cfc6.sh addstring <protocol>:<dport> <string>
(向右滑动,查看更多)
为特定协议和目标端口向iptables添加一个字符串块。一个实际使用场景是屏蔽一组Web服务器中的User-Agent,因此所有包含Firefox/28.0字符串和端口80相关的TCP连接将会被屏蔽:
cfc.sh addstring tcp:80 'Firefox/28.0'
需要注意的是,如果字符串不够具体,这可能会产生严重后果!
clean:
cfc.sh clean <older_than_number_of_days>
(向右滑动,查看更多)
清除所有早于n天的CFC防火墙规则。请记住,它取决于默认日期格式!因此,如果你自定义了日期格式,则需要在“clean”部分调整脚本。
del:
cfc.sh del n.n.n.n/NN
cfc6.sh del <IPv6_address_range>
从防火墙中删除给定的IP(范围)/规则。
delstring:
cfc.sh delstring <protocol>:<dport> <string>
cfc6.sh delstring <protocol>:<dport> <string>
(向右滑动,查看更多)
删除iptables中特定协议和目标端口的字符串块。
find:
cfc.sh find <string>
cfc6.sh find <string>
在防火墙中搜索给定字符串(区分大小写)。
findip:
cfc.sh findip n.n.n.n/NN
cfc6.sh findip <IPv6_address_range>
如果给定的IP(范围)已经是添加规则的一部分,则对于IPv6的防火墙搜索可能速度比较慢(对于每台服务器搜索500个IP范围,大约需要25秒)。IPv4在IP的二进制形式上使用前缀匹配,这大约快500%,这也用于预检查和保护范围功能。
ipsethostinit:
cfc.sh ipsethostinit <server_name>
cfc6.sh ipsethostinit <server_name>
将IPSET列表添加到指定主机,并使用cfg.cfg中定义的参数将iptables规则引用到该列表。在添加防火墙规则之前,只需执行一次。
last:
cfc.sh last <nr_of_most_recent_rules>
cfc6.sh last <nr_of_most_recent_rules>
显示添加到防火墙中的最新条目。
本项目的开发与发布遵循GPL-3.0开源许可证协议。
CFC:https://github.com/LeonBroseliske/CFC
精彩推荐