詳解Android 利用Iptables實(shí)現(xiàn)網(wǎng)絡(luò)黑白名單(防火墻)

更新時(shí)間：2018年08月10日 09:11:17 作者：冷靜之皮囊

這篇文章主要介紹了詳解Android 利用Iptables實(shí)現(xiàn)網(wǎng)絡(luò)黑白名單(防火墻),小編覺(jué)得挺不錯(cuò)的，現(xiàn)在分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧

一、概述

為了使讀此簡(jiǎn)筆的人對(duì)Iptables有一個(gè)簡(jiǎn)單的了解，此處強(qiáng)行百度了一波概念，如果想深入的了解Iptables的各種配置規(guī)則和內(nèi)核對(duì)其的管理運(yùn)行機(jī)制請(qǐng)自行www.baidu.com，這些并不是本簡(jiǎn)筆的目的所在。

閑言少敘，開(kāi)始正文

---->以下概述來(lái)自baidu，讀者可酌情跳過(guò)

iptables的前身叫ipfirewall （內(nèi)核1.x時(shí)代）,是從freeBSD上移植過(guò)來(lái)的，能夠工作在內(nèi)核當(dāng)中的，對(duì)數(shù)據(jù)包進(jìn)行檢測(cè)的一款簡(jiǎn)易訪問(wèn)控制工具。但是ipfirewall工作功能極其有限(它需要將所有的規(guī)則都放進(jìn)內(nèi)核當(dāng)中，這樣規(guī)則才能夠運(yùn)行起來(lái)，而放進(jìn)內(nèi)核，這個(gè)做法一般是極其困難的)。當(dāng)內(nèi)核發(fā)展到2.x系列的時(shí)候，軟件更名為ipchains，它可以定義多條規(guī)則，將他們串起來(lái)，共同發(fā)揮作用，而現(xiàn)在，它叫做iptables，可以將規(guī)則組成一個(gè)列表，實(shí)現(xiàn)絕對(duì)詳細(xì)的訪問(wèn)控制功能。

他們都是工作在用戶空間中，定義規(guī)則的工具，本身并不算是防火墻。它們定義的規(guī)則，可以讓在內(nèi)核空間當(dāng)中的netfilter來(lái)讀取，并且實(shí)現(xiàn)讓防火墻工作。而放入內(nèi)核的地方必須要是特定的位置，必須是tcp/ip的協(xié)議棧經(jīng)過(guò)的地方。而這個(gè)tcp/ip協(xié)議棧必須經(jīng)過(guò)的地方，可以實(shí)現(xiàn)讀取規(guī)則的地方就叫做 netfilter.(網(wǎng)絡(luò)過(guò)濾器)

---->以下是本文所關(guān)注的重點(diǎn)

二、Iptables網(wǎng)絡(luò)黑白名單(防火墻)實(shí)現(xiàn)細(xì)節(jié)

因?yàn)榭紤]到一些權(quán)限的問(wèn)題所以在實(shí)現(xiàn)方法上采用的是創(chuàng)建一個(gè)systemserver來(lái)運(yùn)行這些方法。并提供出manager到三方應(yīng)用，這樣在調(diào)用時(shí)可以排除一些權(quán)限的限制。同時(shí)本文只是做一個(gè)簡(jiǎn)單的參考概述，所以在后文中只提供了增加黑白名單的方法和iptables規(guī)則，并沒(méi)有提供相應(yīng)的刪除規(guī)則等，原理類(lèi)似大家可自行補(bǔ)充添加。

2.1、創(chuàng)建systemserver

2.1.1、在/system/sepolicy/service.te中添加

type fxjnet_service, system_api_service, system_server_service, service_manager_type;

2.2.2、在/system/sepolicy/service_contexts中添加如下，

fxjnet      u:object_r:fxjnet_service:s0

2.2.3、在frameworks/base/core/java/android/content/Context.java中添加

也可以不添加這個(gè)，只不過(guò)為了后面調(diào)用方便所以添加了。如果跳過(guò)此步，那么后面出現(xiàn)Context.FXJNET_SERVICE的地方都用字串代替即可。

public static final String FXJNET_SERVICE="fxjnet";

2.2.4、在/frameworks/base/core/java/android/app/SystemServiceRegistry.java的靜態(tài)代碼塊中添加如下代碼注冊(cè)service。

registerService(Context.FXJNET_SERVICE, FXJNETManager.class,
       new CachedServiceFetcher<FXJNETManager>() {
       @Override
       public FXJNETManager createService(ContextImpl ctx) {
       IBinder b = ServiceManager.getService(Context.FXJNET_SERVICE);
       IFXJNETService service = IFXJNETService.Stub.asInterface(b);
       return new FXJNETManager(ctx, service);
 }});

2.2.5、在frameworks/base/services/java/com/android/server/SystemServer.java中添加如下代碼，將service加入systemserver中。

ServiceManager.addService(Context.FXJNET_SERVICE, new FXJNETService());

2.2.6 、AIDL文件

package android.os;
interface IFXJNETService{
  void addNetworkRestriction(List<String> ipName,int type);
}

2.2.7、提供給外部的FXJNETManager

package android.app;
import android.os.IFXJNETService;
import android.os.RemoteException;
import android.content.Context;
public class FXJNETManager{

 IFXJNETService mService;
 public FXJNETManager(Context ctx,IFXJNETService service){
    mService=service;
 }
 public void addNetworkRestriction(List<String> ipName,int type) {
    try{
      mService.addNetworkRestriction(ipName,type);
   }catch (RemoteException e){
   }
 }//end addNetworkRestriction
}

2.2.8、系統(tǒng)服務(wù)即AIDL的實(shí)現(xiàn)server

package com.android.server;

import android.os.IFXJNETService;
import java.io.File;
import java.io.FileOutputStream;
import java.io.IOException;

public class FXJNETService extends IFXJNETService.Stub {
final File file = new File("/data/fxj/", "firewall.sh");
  /**
   * 增加{網(wǎng)絡(luò)IP訪問(wèn)}黑白名單數(shù)據(jù)
   */
  public void addNetworkRestriction(List<String> ipName,int type) {
      String str= getIPlist(type,ipName);
      setiptablesRestriction();
  }
//構(gòu)建Iptables的規(guī)則，1-黑名單 ；2-白名單
 private String getIPlist(int type,List<String> iplist){
    StringBuilder sb = new StringBuilder();
    sb.append("echo runscript start\n");
    sb.append("iptables -F OUTPUT\n");
    if (type == 1){
      if (iplist != null && iplist.size() > 0){
        for (int i = 0 ; i < iplist.size() ;i++){
          String ipname = iplist.get(i);
          sb.append("echo blacklist mode\n");
          sb.append("iptables -I OUTPUT -d ");
          sb.append(ipname);
          sb.append(" -j DROP\n");
        }
      }
    }else if (type == 2){
      if (iplist != null && iplist.size() > 0){
        for (int i = 0 ; i < iplist.size() ; i++){
          String ipname =iplist.get(i);
          sb.append("echo whitelist mode\n");
          sb.append("iptabless -P OUTPUT DROP\n");
          sb.append("iptables -I OUTPUT -d ");
          sb.append(ipname);
          sb.append(" -j ACCEPT\n");
        }
      }
    }
    sb.append("run script end\n");
    return sb.toString();
  }
 private void setiptablesRestriction(String ipName){
    final FXJScriptRunner runner = new FXJScriptRunner(file,ipName,new StringBuilder());
    new Thread(new Runnable() {
      @Override
      public void run() {
        runner.run();
      }
    }).start();
  }
}

2.2.9、運(yùn)行IPTABLES腳本命令的工具類(lèi)

package com.android.server;

import java.io.File;
import java.io.FileOutputStream;
import java.io.IOException;
import java.io.InputStream;
import java.io.OutputStreamWriter;

import android.os.FileUtils;
import android.os.SystemProperties;
import android.util.Log;

public class FXJScriptRunner extends Thread{
  private final File file;
  private final String script;
  private final StringBuilder res;
  public int exitcode = -1;
  private final String TAG = "ScriptRunner" ;
  
  public ScriptRunner(File file, String script, StringBuilder res,
      boolean asroot) {
    this.file = file;
    this.script = script;
    this.res = res;
  }

  @Override
  public void run() {
    // TODO Auto-generated method stub
    try {
      file.delete();
      file.createNewFile();
      final String abspath = file.getAbsolutePath();
      // make sure we have execution permission on the script file
      FileUtils.setPermissions(abspath, 00700, -1, -1);
      Runtime.getRuntime().exec("chmod 777 " + abspath).waitFor();//給創(chuàng)建的sh文件設(shè)置權(quán)限
      // Write the script to be executed
      final OutputStreamWriter out = new OutputStreamWriter(
          new FileOutputStream(file));
      if (new File("/system/bin/sh").exists()) {
        out.write("#!/system/bin/sh\n");
      }
      out.write(script);
      if (!script.endsWith("\n"))
        out.write("\n");
      out.write("exit 0\n");
      out.flush();
      out.close();
//通過(guò) SystemProperties.set("ctl.start", "fxjmotnitor")執(zhí)行service，來(lái)運(yùn)行腳本，
//fxjmotnitor為service名稱,可以根據(jù)自己的愛(ài)好隨便叫
      SystemProperties.set("ctl.start", "fxjmotnitor");
    } catch (Exception ex) {
      if (res != null)
        res.append("\n" + ex);
    } finally {
      //destroy();
    }
  }
}

三、fxjmotnitor service的創(chuàng)建步驟如下。

3.1、在/system/core/rootdir/init.rc中添加如下，使得service在開(kāi)機(jī)時(shí)就運(yùn)行起來(lái)

service fxjmotnitor /system/bin/sh /data/fxj/firewall.sh
 class main
 oneshot
 seclabel u:r:fxjmotnitor:s0

3.2、在/sepolicy/目錄下創(chuàng)建fxjmotnitor.te文件，內(nèi)容如下

type fxjmotnitor, domain;
type fxjmotnitor_exec, exec_type, file_type;
init_daemon_domain(fxjmotnitor)
allow fxjmotnitor shell_exec:file { entrypoint getattr read };

3.3、在/sepolicy/file_contexts中添加

/data/fxj/firewall.sh  u:object_r:fxjmotnitor_exec:s0

3.4、在sepolicy/Android.mk中的

BOARD_SEPOLICY_UNION += \
#追加如下
......\
fxjmotnitor.te \
......\

以上就是基于iptables規(guī)則對(duì)ip地址進(jìn)行管控，從而限制手機(jī)那些ip可以訪問(wèn)那些不可訪問(wèn)的流程實(shí)現(xiàn)之細(xì)節(jié)，當(dāng)然iptables的作用不僅僅局限于此，有興趣的可自行了解學(xué)習(xí)。也希望大家多多支持腳本之家。

您可能感興趣的文章: