防止Linux系統(tǒng)下的VPS用戶更改IP地址的方法
我要評論作為 Xen VPS 服務(wù)商，我們分配獨(dú)立的 IP 地址給 VPS，我們不希望 VPS 用戶自己能隨便修改 IP 地址，因?yàn)檫@樣有可能和其他用戶的 IP 地址造成沖突，而且造成管理上的不便，所以需要綁定 IP 給某個(gè) VPS.如何避免Xen VPS用戶自己修改IP地址含kvm vps
解決這個(gè)問題的辦法有很多，從路由器、防火墻、操作系統(tǒng)、Xen 等層面都可以做限制。這里介紹的兩個(gè)簡單方法都是從 dom0 入手：一個(gè)是在 dom0 上利用 Xen 配置；一個(gè)是在 dom0 上利用 iptables.
利用 Xen 配置
Xen 上有個(gè) antispoof 配置選項(xiàng)就是來解決這個(gè)問題的，不過默認(rèn)配置沒有打開這個(gè) antispoof 選項(xiàng)，需要修改：
...
(network-script 'network-bridge antispoof=yes')
...
修改 /etc/xen/scripts/vif-common.sh 里面的 frob_iptable() 函數(shù)部分，加上 iptables 一行：
function frob_iptable()
{
...
iptables -t raw "$c" PREROUTING -m physdev --physdev-in "$vif" "$@" -j NOTRACK
}
修改完 Xen 配置后還需要修改 domU 的配置，給每個(gè) domU 分配固定 IP 和 MAC 地址，還有 vif 名字：
...
vif = [ "vifname=vm01,mac=00:16:3e:7c:1f:6e,ip=172.16.39.105,bridge=xenbr0" ]
...
很多系統(tǒng)上 iptables 在默認(rèn)情況下都不會(huì)理會(huì)網(wǎng)橋上的 FORWARD 鏈，所以需要修改內(nèi)核參數(shù)確保 bridge-nf-call-iptables=1，把這個(gè)修改可以放到 antispoofing() 函數(shù)里，這樣每次 Xen 配置網(wǎng)絡(luò)的時(shí)候會(huì)自動(dòng)配置內(nèi)核參數(shù)：
antispoofing () {
echo 1 > /proc/sys/net/bridge/bridge-nf-call-iptables
...
}
修改完畢后測試的話需要關(guān)閉 domU，重啟 iptables 和 xend 服務(wù)，再啟動(dòng) domU.
# /etc/init.d/iptables restart
# /etc/init.d/xend restart
# xm create vm01
上面的方法在 Xen 3.x 上 測試有效，有人說在 Xen 4.x 上行不通，我們下面將要介紹的方法繞開了 Xen 配置，直接從 iptables 限制，在 Xen 3.x 和 Xen 4.x 上應(yīng)該都可以用。
利用 iptables
首先在 dom0 上確定 iptables 已經(jīng)開啟，這里需要注意的是一定要在每個(gè) domU 的配置文件中的 vif 部分加上 vifname, ip, mac，這樣才能在 iptables 規(guī)則里面明確定義：
...
vif = [ "vifname=vm01,mac=00:16:3e:7c:1f:6e,ip=172.16.39.105,bridge=xenbr0" ]
...</p> <p> # vi /etc/iptables-rules
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
# The antispoofing rules for domUs
-A FORWARD -m state --state RELATED,ESTABLISHED -m physdev --physdev-out vm01 -j ACCEPT
-A FORWARD -p udp -m physdev --physdev-in vm01 -m udp --sport 68 --dport 67 -j ACCEPT
-A FORWARD -s 172.16.39.105/32 -m physdev --physdev-in vm01 -j ACCEPT
-A FORWARD -d 172.16.39.105/32 -m physdev --physdev-out vm01 -j ACCEPT
# If the IP address is not allowed on that vif, log and drop it.
-A FORWARD -m limit --limit 15/min -j LOG --log-prefix "Dropped by firewall: " --log-level 7
-A FORWARD -j DROP
# The access rules for dom0
-A INPUT -j ACCEPT
COMMIT</p> <p> # iptables-restore < /etc/iptables.rules
當(dāng)然，別忘了：
相關(guān)文章
xp系統(tǒng)下IP地址配置錯(cuò)誤提示需要重啟的解決方法
在使用winXP系統(tǒng)過程中，經(jīng)常會(huì)碰到需要修改IP地址的情況。不過，一些用戶在配置ip地址時(shí)，電腦卻提示需要重啟，這種情況怎么辦呢？本文將提供xp系統(tǒng)下IP地址配置錯(cuò)誤提示2016-04-23Win8系統(tǒng)利用資源監(jiān)視器如何查看QQ好友的IP地址
這篇文章主要介紹了Win8系統(tǒng)利用資源監(jiān)視器查看QQ好友IP地址的方法，直接在Windows的資源監(jiān)視器中，就能看到QQ好友的IP地址，非常簡單的方法，感興趣的小伙伴們可以參考一2016-03-25- 無線路由器在現(xiàn)今生活中我們都會(huì)用到，手機(jī)、筆記本，IPAD的都要連WIFI,那么你在使用中是否會(huì)碰到IP地址沖突，導(dǎo)致你無法連接上網(wǎng)絡(luò)呢？這時(shí)你如何查看自己的IP地址是多少2016-01-28
- 這篇文章主要介紹了Linux下獲取公網(wǎng)IP地址的方法,需要的朋友可以參考下2016-01-26
win7系統(tǒng)ip地址沖突怎么辦？Win7系統(tǒng)IP地址沖突問題的解決辦法
win7系統(tǒng)ip地址沖突怎么辦？有朋友們遇到這個(gè)問題，下面小編就給大家?guī)鞼in7系統(tǒng)IP地址沖突問題的解決辦法，希望可以幫助到大家2016-01-22- Win10系統(tǒng)總是提示IP地址沖突該怎么解決？出現(xiàn)這種個(gè)情況基本上是路由器分配地址出現(xiàn)重復(fù)了，重啟路由器不能解決的話就手動(dòng)修改ip地址，下面分享詳細(xì)的教程，需要的朋友可2016-01-14
- 這篇文章主要介紹了發(fā)現(xiàn)Linux中IP地址沖突的方法，如何在Linux中發(fā)現(xiàn)IP地址沖突?本文就為大家介紹一個(gè)工具arp-scan來幫助大家發(fā)現(xiàn)Linux中IP地址沖突，感興趣的小伙伴們可以2016-01-12
Linux系統(tǒng)下修改IP地址、網(wǎng)關(guān)、DNS的基本方法
這篇文章主要介紹了Linux系統(tǒng)下修改IP地址、網(wǎng)關(guān)、DNS的基本方法,是Linux系統(tǒng)入門學(xué)習(xí)中的基礎(chǔ)知識,需要的朋友可以參考下2015-12-03- 自己設(shè)置靜態(tài)IP地址可以避免IP地址沖突，在電腦少的情況下可以手動(dòng)設(shè)置靜態(tài)IP地址，那么Win10系統(tǒng)怎么修改電腦IP地址?下面小編就為大家介紹一下，一起來看看吧2015-10-13
win10中怎么修改IP地址？win10重新設(shè)置IP
win10中怎么修改IP地址？公司有很多ip地址提供我們選擇，有的ip的網(wǎng)速很慢，不是很方便下載上傳軟件，該怎么才能重新設(shè)置網(wǎng)址到更快的ip地址呢？下面我們來看看win10 ip地2015-09-11