105 lines
5.1 KiB
Bash
105 lines
5.1 KiB
Bash
|
#!/bin/bash
|
|||
|
|
# 一键复现 dsh 实例出网护栏（/etc/nftables-dsh-egress.nft + dsh-egress.service）
|
|||
|
|
#
|
|||
|
|
# 档案 14 · H1 阻断云元数据端点（100.100.100.200）
|
|||
|
|
# 档案 14 · H4 观测实例新建外联（只记录不拦截）
|
|||
|
|
# 档案 39 · H5 封锁实例**主动**访问宿主自身（loopback / eth0 / docker0 / 公网 EIP）
|
|||
|
|
#
|
|||
|
|
# 用法（需 root）：bash scripts/install-egress-guard.sh
|
|||
|
|
# 回滚：systemctl disable --now dsh-egress
|
|||
|
|
#
|
|||
|
|
# ⚠️ 改 H5 前必读档案 39「事故/踩坑记录」：**不能只按目的地址匹配** ——
|
|||
|
|
# 实例是「先收后回」的服务端，回包目的地址同样是 127.0.0.1，
|
|||
|
|
# 按 daddr 一刀切会把回包一起拒掉 → nginx 无法回源、实例整体不可用
|
|||
|
|
# （判定特征：root 连实例端口 **timeout 而非 refused**）。
|
|||
|
|
# 必须只匹配主动发起：TCP 用纯 SYN，UDP 用 ct state new。
|
|||
|
|
set -euo pipefail
|
|||
|
|
|
|||
|
|
if [ "$(id -u)" != "0" ]; then
|
|||
|
|
echo "需要 root" >&2
|
|||
|
|
exit 1
|
|||
|
|
fi
|
|||
|
|
|
|||
|
|
echo "==> 写入 /etc/nftables-dsh-egress.nft"
|
|||
|
|
cat > /etc/nftables-dsh-egress.nft <<'NFTEOF'
|
|||
|
|
#!/usr/sbin/nft -f
|
|||
|
|
# dsh 实例出网护栏
|
|||
|
|
# 档案 14 · H1（云元数据端点）+ H4（外联观测）
|
|||
|
|
# 档案 39 · H5（实例不得「主动」访问宿主自身 —— 切断宿主服务面与跨租户互通）
|
|||
|
|
# 只作用于 dsh 实例 uid 段 100000-199999；root / 云监控 / Docker 不受影响。
|
|||
|
|
#
|
|||
|
|
# 坑 1：阿里云 DNS 是 100.100.2.136 / 100.100.2.138 —— 绝不能封 100.100.0.0/16 整段，
|
|||
|
|
# 本文件只精确封元数据端点 100.100.100.200（/32）。
|
|||
|
|
# 坑 2：Docker 用 iptables-nft，本表独立，不与 docker 链混用。
|
|||
|
|
# 坑 3：观测要排除 53 端口 —— nft 日志不记录查询域名，DNS 行是纯噪音且量最大。
|
|||
|
|
# 坑 4（档案 39，实测踩到）：H5 **绝不能只按目的地址匹配**。实例是「先收后回」的服务端：
|
|||
|
|
# nginx(root) → 实例端口的 SYN 合法，但实例回的 SYN-ACK 与后续数据包
|
|||
|
|
# **目的地址同样是 127.0.0.1**（客户端就是本机）。若按 daddr 一刀切 reject，
|
|||
|
|
# 回包会被一起拒掉 → root 连实例端口 **超时**、nginx 无法回源、实例整体不可用。
|
|||
|
|
# → 必须只匹配**实例主动发起**的连接：TCP 用纯 SYN（`tcp flags & (fin|syn|rst|ack) == syn`，
|
|||
|
|
# SYN-ACK 带 ack 位故不匹配），UDP 用 `ct state new`。
|
|||
|
|
table ip dsh_egress {
|
|||
|
|
chain output {
|
|||
|
|
type filter hook output priority filter; policy accept;
|
|||
|
|
|
|||
|
|
# H1 · 阻断云元数据端点（先记录再拒绝）
|
|||
|
|
meta skuid 100000-199999 ip daddr 100.100.100.200 log prefix "dsh-egress-BLOCK " level warn
|
|||
|
|
meta skuid 100000-199999 ip daddr 100.100.100.200 counter reject
|
|||
|
|
|
|||
|
|
# H5 · 实例不得主动访问宿主自身（档案 39）
|
|||
|
|
# 封 4 类目的地址（仅实例主动发起的连接）：
|
|||
|
|
# 127.0.0.0/8 → 宿主全部 loopback 服务（sshd 22/32022、nginx 80/443/888、
|
|||
|
|
# 门户 3080、BT-Panel 58888/8765）+ 其他实例的 127.0.0.1 监听
|
|||
|
|
# 172.18.16.212 → 宿主内网卡（eth0，同样到达 nginx/面板）
|
|||
|
|
# 172.17.0.1 → docker0 网桥网关
|
|||
|
|
# 47.77.182.89 → 公网 EIP（回环到本机 nginx/sshd）
|
|||
|
|
# 不影响：公网访问、阿里云内网 DNS（100.100.2.136/138）、pip/npm 下载、
|
|||
|
|
# 实例自身监听端口、nginx 回源（root 发包 + 实例回包带 ack）
|
|||
|
|
meta skuid 100000-199999 ip daddr { 127.0.0.0/8, 172.17.0.1, 172.18.16.212, 47.77.182.89 } \
|
|||
|
|
meta l4proto tcp tcp flags & (fin|syn|rst|ack) == syn \
|
|||
|
|
counter log prefix "dsh-egress-HOST " level warn limit rate 20/minute
|
|||
|
|
meta skuid 100000-199999 ip daddr { 127.0.0.0/8, 172.17.0.1, 172.18.16.212, 47.77.182.89 } \
|
|||
|
|
meta l4proto tcp tcp flags & (fin|syn|rst|ack) == syn \
|
|||
|
|
counter reject with tcp reset
|
|||
|
|
meta skuid 100000-199999 ip daddr { 127.0.0.0/8, 172.17.0.1, 172.18.16.212, 47.77.182.89 } \
|
|||
|
|
meta l4proto udp ct state new counter reject
|
|||
|
|
|
|||
|
|
# H4 · 观测实例新建外联（先记录不拦截；排除 loopback 与 DNS 降噪）
|
|||
|
|
meta skuid 100000-199999 ip daddr != 127.0.0.0/8 tcp dport != 53 ct state new counter log prefix "dsh-egress " level info
|
|||
|
|
meta skuid 100000-199999 ip daddr != 127.0.0.0/8 udp dport != 53 ct state new counter log prefix "dsh-egress " level info
|
|||
|
|
}
|
|||
|
|
}
|
|||
|
|
NFTEOF
|
|||
|
|
|
|||
|
|
echo "==> 写入 /etc/systemd/system/dsh-egress.service"
|
|||
|
|
cat > /etc/systemd/system/dsh-egress.service <<'SVCEOF'
|
|||
|
|
[Unit]
|
|||
|
|
Description=DSH instance egress guard (nftables)
|
|||
|
|
Documentation=file:/etc/nftables-dsh-egress.nft
|
|||
|
|
After=network-pre.target
|
|||
|
|
Before=network.service
|
|||
|
|
Wants=network-pre.target
|
|||
|
|
|
|||
|
|
[Service]
|
|||
|
|
Type=oneshot
|
|||
|
|
RemainAfterExit=yes
|
|||
|
|
# 幂等：nft -f 遇到已存在的表会报 File exists，故先删（忽略不存在时的报错）
|
|||
|
|
ExecStartPre=-/usr/sbin/nft delete table ip dsh_egress
|
|||
|
|
ExecStart=/usr/sbin/nft -f /etc/nftables-dsh-egress.nft
|
|||
|
|
ExecStop=-/usr/sbin/nft delete table ip dsh_egress
|
|||
|
|
|
|||
|
|
[Install]
|
|||
|
|
WantedBy=multi-user.target
|
|||
|
|
SVCEOF
|
|||
|
|
|
|||
|
|
echo "==> 语法预检"
|
|||
|
|
nft -c -f /etc/nftables-dsh-egress.nft
|
|||
|
|
|
|||
|
|
echo "==> 启用并重载"
|
|||
|
|
systemctl daemon-reload
|
|||
|
|
systemctl enable dsh-egress
|
|||
|
|
systemctl restart dsh-egress
|
|||
|
|
|
|||
|
|
echo "==> 当前规则"
|
|||
|
|
nft list table ip dsh_egress
|
|||
|
|
echo "OK"
|