linux – Centos 6.4只允许用户绑定到某个端口？

发布时间：2020-12-13 16:47:42 所属栏目：Linux 来源：网络整理

导读：如何配置CentOS 6.4服务器,以便某些用户只能在某些端口上运行服务器？例如如果我有一个用于运行服务器的用户,我只希望他能够绑定到端口1036. 解决方法我知道你可以使用网络命名空间来做到这一点,因为我就是这样做的.但它非常复杂. 这个过程就是这样. 使用取

如何配置CentOS 6.4服务器,以便某些用户只能在某些端口上运行服务器？例如如果我有一个用于运行服务器的用户,我只希望他能够绑定到端口1036.

解决方法

我知道你可以使用网络命名空间来做到这一点,因为我就是这样做的.但它非常复杂.

这个过程就是这样.

>使用取消共享创建网络命名空间
>使用ip link add type veth创建一个veth设备….
>使用ip link set vethX netns ${PIDOFUNSHARE}将veth的一端移动到此设备中
>在新命名空间中引发回送(如果尚未).
>在新命名空间和vethX设备中添加IP地址(如果尚未).
>将新网络命名空间中的默认路由设置为父命名空间中的IP.
>设置一个静态路由到您在子命名空间中添加的ip,以下移到父命名空间中的vethX.

现在,不受信任的用户当然拥有该IP的完全所有权,但您可以使用父命名空间中的IPtables对允许绑定的特定端口进行DNAT,并将通信限制为仅限该端口.
用户不可能有效地拒绝另一个端口上的服务给另一个用户,因为他具有仅在该用户命名空间内工作的特定IP.

注意,如果使用nslcd或nscd进行名称解析服务,则事情会更复杂,因为用于进程间通信的unix套接字在子命名空间中无效.我能够解决这个问题的唯一方法是修补这些程序以提供TCP传输,并通过TCP在父命名空间中执行名称解析服务.

我还在C中编写了一个程序,它使用netlink调用来设置上述所有内容.该程序是封闭源代码,所以不幸的是我无法与您分享.

为了记录,在Fedora中执行此操作更容易,因为您可以在其中创建命名的网络命名空间.但是EL6没有提供/ proc /< pid> / ns功能来执行此操作.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!