脚本之家 服务器常用软件
快捷导航
您的位置：主页 > 操作系统 > LINUX >

防止Linux系统下的VPS用户更改IP地址的方法

大步's Blog   发布时间：2015-06-25 16:45:58   作者：佚名   我要评论
这篇文章主要介绍了防止Linux系统下的VPS用户更改IP地址的方法,分别介绍了Xen 配置和iptables配置相关的两种解决方法,需要的朋友可以参考下

作为 Xen VPS 服务商，我们分配独立的 IP 地址给 VPS，我们不希望 VPS 用户自己能随便修改 IP 地址，因为这样有可能和其他用户的 IP 地址造成冲突，而且造成管理上的不便，所以需要绑定 IP 给某个 VPS.如何避免Xen VPS用户自己修改IP地址含kvm vps

解决这个问题的办法有很多，从路由器、防火墙、操作系统、Xen 等层面都可以做限制。这里介绍的两个简单方法都是从 dom0 入手：一个是在 dom0 上利用 Xen 配置；一个是在 dom0 上利用 iptables.
利用 Xen 配置

Xen 上有个 antispoof 配置选项就是来解决这个问题的，不过默认配置没有打开这个 antispoof 选项，需要修改：

   

复制代码
代码如下:
# vi /etc/xen/xend-config.sxp
...
(network-script 'network-bridge antispoof=yes')
...

修改 /etc/xen/scripts/vif-common.sh 里面的 frob_iptable() 函数部分，加上 iptables 一行：

   

复制代码
代码如下:
# vi /etc/xen/scripts/vif-common.sh
function frob_iptable()
{
...
iptables -t raw "$c" PREROUTING -m physdev --physdev-in "$vif" "$@" -j NOTRACK
}

修改完 Xen 配置后还需要修改 domU 的配置，给每个 domU 分配固定 IP 和 MAC 地址，还有 vif 名字：

   

复制代码
代码如下:
# vi /etc/xen/vm01
...
vif = [ "vifname=vm01,mac=00:16:3e:7c:1f:6e,ip=172.16.39.105,bridge=xenbr0" ]
...

很多系统上 iptables 在默认情况下都不会理会网桥上的 FORWARD 链，所以需要修改内核参数确保 bridge-nf-call-iptables=1，把这个修改可以放到 antispoofing() 函数里，这样每次 Xen 配置网络的时候会自动配置内核参数：

   

复制代码
代码如下:
# vi /etc/xen/scripts/network-bridge
antispoofing () {
echo 1 > /proc/sys/net/bridge/bridge-nf-call-iptables
...
}

修改完毕后测试的话需要关闭 domU，重启 iptables 和 xend 服务，再启动 domU.

   

复制代码
代码如下:
# xm shutdown vm01
# /etc/init.d/iptables restart
# /etc/init.d/xend restart
# xm create vm01

上面的方法在 Xen 3.x 上 测试有效，有人说在 Xen 4.x 上行不通，我们下面将要介绍的方法绕开了 Xen 配置，直接从 iptables 限制，在 Xen 3.x 和 Xen 4.x 上应该都可以用。
利用 iptables

首先在 dom0 上确定 iptables 已经开启，这里需要注意的是一定要在每个 domU 的配置文件中的 vif 部分加上 vifname, ip, mac，这样才能在 iptables 规则里面明确定义：

   

复制代码
代码如下:
# /etc/init.d/iptables restart</p> <p> # vi /etc/xen/vm01
...
vif = [ "vifname=vm01,mac=00:16:3e:7c:1f:6e,ip=172.16.39.105,bridge=xenbr0" ]
...</p> <p> # vi /etc/iptables-rules
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
# The antispoofing rules for domUs
-A FORWARD -m state --state RELATED,ESTABLISHED -m physdev --physdev-out vm01 -j ACCEPT
-A FORWARD -p udp -m physdev --physdev-in vm01 -m udp --sport 68 --dport 67 -j ACCEPT
-A FORWARD -s 172.16.39.105/32 -m physdev --physdev-in vm01 -j ACCEPT
-A FORWARD -d 172.16.39.105/32 -m physdev --physdev-out vm01 -j ACCEPT
# If the IP address is not allowed on that vif, log and drop it.
-A FORWARD -m limit --limit 15/min -j LOG --log-prefix "Dropped by firewall: " --log-level 7
-A FORWARD -j DROP
# The access rules for dom0
-A INPUT -j ACCEPT
COMMIT</p> <p> # iptables-restore < /etc/iptables.rules

当然，别忘了：

   

复制代码
代码如下:
# echo 1 > /proc/sys/net/bridge/bridge-nf-call-iptables


相关文章

  • xp系统下IP地址配置错误提示需要重启的解决方法

    在使用winXP系统过程中，经常会碰到需要修改IP地址的情况。不过，一些用户在配置ip地址时，电脑却提示需要重启，这种情况怎么办呢？本文将提供xp系统下IP地址配置错误提示
    2016-04-23

  • Win8系统利用资源监视器如何查看QQ好友的IP地址

    这篇文章主要介绍了Win8系统利用资源监视器查看QQ好友IP地址的方法，直接在Windows的资源监视器中，就能看到QQ好友的IP地址，非常简单的方法，感兴趣的小伙伴们可以参考一
    2016-03-25

  • win7电脑的IP地址怎么查看?

    无线路由器在现今生活中我们都会用到，手机、笔记本，IPAD的都要连WIFI,那么你在使用中是否会碰到IP地址冲突，导致你无法连接上网络呢？这时你如何查看自己的IP地址是多少
    2016-01-28

  • Linux下获取公网IP地址的方法

    这篇文章主要介绍了Linux下获取公网IP地址的方法,需要的朋友可以参考下
    2016-01-26

  • win7系统ip地址冲突怎么办？Win7系统IP地址冲突问题的解决办法

    win7系统ip地址冲突怎么办？有朋友们遇到这个问题，下面小编就给大家带来Win7系统IP地址冲突问题的解决办法，希望可以帮助到大家
    2016-01-22

  • Win10系统总是提示IP地址冲突该怎么解决?

    Win10系统总是提示IP地址冲突该怎么解决？出现这种个情况基本上是路由器分配地址出现重复了，重启路由器不能解决的话就手动修改ip地址，下面分享详细的教程，需要的朋友可
    2016-01-14

  • 发现Linux中IP地址冲突的方法

    这篇文章主要介绍了发现Linux中IP地址冲突的方法，如何在Linux中发现IP地址冲突?本文就为大家介绍一个工具arp-scan来帮助大家发现Linux中IP地址冲突，感兴趣的小伙伴们可以
    2016-01-12

  • Linux系统下修改IP地址、网关、DNS的基本方法

    这篇文章主要介绍了Linux系统下修改IP地址、网关、DNS的基本方法,是Linux系统入门学习中的基础知识,需要的朋友可以参考下
    2015-12-03

  • Win10系统怎么修改电脑IP地址?

    自己设置静态IP地址可以避免IP地址冲突，在电脑少的情况下可以手动设置静态IP地址，那么Win10系统怎么修改电脑IP地址?下面小编就为大家介绍一下，一起来看看吧
    2015-10-13

  • win10中怎么修改IP地址？win10重新设置IP

    win10中怎么修改IP地址？公司有很多ip地址提供我们选择，有的ip的网速很慢，不是很方便下载上传软件，该怎么才能重新设置网址到更快的ip地址呢？下面我们来看看win10 ip地
    2015-09-11

最新评论

关注微信公众号

扫一扫