如何配置CentOS 6.4服务器,以便某些用户只能在某些端口上运行服务器?例如如果我有一个用于运行服务器的用户,我只希望他能够绑定到端口1036.
解决方法
我知道你可以使用网络命名空间来做到这一点,因为我就是这样做的.但它非常复杂.
这个过程就是这样.
>使用取消共享创建网络命名空间
>使用ip link add type veth创建一个veth设备….
>使用ip link set vethX netns ${PIDOFUNSHARE}将veth的一端移动到此设备中
>在新命名空间中引发回送(如果尚未).
>在新命名空间和vethX设备中添加IP地址(如果尚未).
>将新网络命名空间中的默认路由设置为父命名空间中的IP.
>设置一个静态路由到您在子命名空间中添加的ip,以下移到父命名空间中的vethX.
现在,不受信任的用户当然拥有该IP的完全所有权,但您可以使用父命名空间中的IPtables对允许绑定的特定端口进行DNAT,并将通信限制为仅限该端口.
用户不可能有效地拒绝另一个端口上的服务给另一个用户,因为他具有仅在该用户命名空间内工作的特定IP.
注意,如果使用nslcd或nscd进行名称解析服务,则事情会更复杂,因为用于进程间通信的unix套接字在子命名空间中无效.我能够解决这个问题的唯一方法是修补这些程序以提供TCP传输,并通过TCP在父命名空间中执行名称解析服务.
我还在C中编写了一个程序,它使用netlink调用来设置上述所有内容.该程序是封闭源代码,所以不幸的是我无法与您分享.
为了记录,在Fedora中执行此操作更容易,因为您可以在其中创建命名的网络命名空间.但是EL6没有提供/ proc /< pid> / ns功能来执行此操作.
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。