docker到podman迁移中》。

作者: liantian
时间: 2021-03-30
分类: 默认分类
评论

安装：

yum module install -y container-tools

登录RH账号：

podman login registry.redhat.io

拉取最小镜像：

podman pull registry.redhat.io/ubi8/ubi-minimal

运行一个叫mybash的容器，启动bash

podman run --name=mybash -it registry.redhat.io/ubi8/ubi-minimal /bin/bash

再次启动mybash

podman start -ai mybash

制作一个开发环境，新建Dockerfile

FROM registry.redhat.io/ubi8/ubi-init

RUN dnf install bash-completion nano  --nodocs
RUN rm -f /etc/localtime
RUN cp  /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

############################################################
# 安装 SSH
############################################################

RUN dnf install openssh-server passwd --nodocs
RUN ssh-keygen -t dsa -P "" -f /etc/ssh/ssh_host_dsa_key  <<< y
RUN ssh-keygen -t rsa -P "" -f /etc/ssh/ssh_host_rsa_key   <<< y
RUN ssh-keygen -t ecdsa -P "" -f /etc/ssh/ssh_host_ecdsa_key   <<< y
RUN ssh-keygen -t ed25519 -P "" -f /etc/ssh/ssh_host_ed25519_key   <<< y
RUN echo "root:root" | chpasswd
RUN systemctl enable sshd

############################################################
# 安装 Python , 同时安装pip，设置为清华源。
############################################################

RUN dnf install -y python38 python38-psycopg2 python38-PyMySQL python38-jinja2 python38-numpy python38-requests python38-scipy python38-setuptools python38-pip
RUN dnf clean all
RUN pip3 config set global.index-url https://pypi.tuna.tsinghua.edu.cn/simple
RUN pip3 install --no-cache-dir django django-debug-toolbar django-rq django-redis 

EXPOSE 22 8000 8080

启动这个开发环境

buildah bud -t devenv .
podman run    -p 8080:8080 -p 8000:8000 -p 31022:22 -name DevENV localhost/devenv

基金选择器

作者: liantian
时间: 2020-11-14
分类: 默认分类
评论

https://liantian.me/fund

Portproxy on windows

作者: liantian
时间: 2020-11-10
分类: 默认分类
评论

通过中转端口加速连接远端服务器，实现加速网络访问的的效果。

在Linux平台上，通过iptables可以简单实现，在Windows平台，其实通过netsh也很简单，只需要：

netsh interface portproxy reset
netsh interface portproxy add v4tov4 listenport=[本地端口] listenaddress=0.0.0.0 connectport=[远程端口] connectaddress=[远程地址]

参考:https://technet.microsoft.com/en-us/library/cc731068

iptables基础配置

作者: liantian
时间: 2020-11-10
分类: 默认分类
评论

ChangeLog

# 2018.6.8
增加IPv6部分

1. 基础命令

查看现有配置

默认filter表

iptables -nvL --line-numbers

看nat表

iptables -t nat -nvL --line-numbers

-A和-I的区别

添加一条规则到尾部：

iptables -A INPUT -s 192.168.1.5 -j DROP

插入一条规则到第三行，将行数直接写到规则链的后面：

iptables -I INPUT 3 -s 192.168.1.3 -j DROP

删除用-D参数

iptables -D INPUT 14

清空已有的iptables

iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X


ip6tables -P INPUT ACCEPT
ip6tables -P FORWARD ACCEPT
ip6tables -P OUTPUT ACCEPT
ip6tables -t nat -F
ip6tables -t mangle -F
ip6tables -F
ip6tables -X

2. 常用配置 (INPUT方向)

对loopback访问不限制

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

ip6tables -A INPUT -i lo -j ACCEPT
ip6tables -A OUTPUT -o lo -j ACCEPT

对连接状态的控制

conntrack模组基于连接状态判断数据包，连接状态分为4种，分别是：

NEW：新连接数据包
ESTABLISHED：已连接数据包
RELATED：和出有送的数据包
INVALID：无效数据包

首要，要允许已建立连接的数据同行。

iptables -A INPUT   -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT


ip6tables -A INPUT   -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
ip6tables -A OUTPUT  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
ip6tables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

禁止无效的连接


iptables -A INPUT   -m conntrack --ctstate INVALID -j DROP
iptables -A OUTPUT  -m conntrack --ctstate INVALID -j DROP
iptables -A FORWARD -m conntrack --ctstate INVALID -j DROP

ip6tables -A INPUT   -m conntrack --ctstate INVALID -j DROP
ip6tables -A OUTPUT  -m conntrack --ctstate INVALID -j DROP
ip6tables -A FORWARD -m conntrack --ctstate INVALID -j DROP

接下来，就只针对NEW状态的连接创建规则了。

允许 ping

iptables -A INPUT -p icmp -j ACCEPT
ip6tables -A INPUT -p icmpv6 -j ACCEPT

允许ssh

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
ip6tables -A INPUT -p tcp --dport 22 -j ACCEPT

避免暴力破解和端口扫描，一般需要安装fail2ban。

apt install fail2ban

fail2ban的版本需要大于0.10才支持ipv6，使用--version查看

fail2ban-client --version

Cloudflare的流量

新建CLOUDFLARE链表

iptables -N CLOUDFLARE
ip6tables -N CLOUDFLARE

将来自80/443端口的流量，应用到CLOUDFLARE链表。

iptables -A INPUT -p tcp -m multiport --dports http,https -j CLOUDFLARE
ip6tables -A INPUT -p tcp -m multiport --dports http,https -j CLOUDFLARE

根据https://www.cloudflare.com/ips/的列表，允许来自Cloudflare的流量。

iptables -A CLOUDFLARE -s 103.21.244.0/22  -j ACCEPT
iptables -A CLOUDFLARE -s 103.22.200.0/22  -j ACCEPT
iptables -A CLOUDFLARE -s 103.31.4.0/22    -j ACCEPT
iptables -A CLOUDFLARE -s 104.16.0.0/12    -j ACCEPT
iptables -A CLOUDFLARE -s 108.162.192.0/18 -j ACCEPT
iptables -A CLOUDFLARE -s 131.0.72.0/22    -j ACCEPT
iptables -A CLOUDFLARE -s 141.101.64.0/18  -j ACCEPT
iptables -A CLOUDFLARE -s 162.158.0.0/15   -j ACCEPT
iptables -A CLOUDFLARE -s 172.64.0.0/13    -j ACCEPT
iptables -A CLOUDFLARE -s 173.245.48.0/20  -j ACCEPT
iptables -A CLOUDFLARE -s 188.114.96.0/20  -j ACCEPT
iptables -A CLOUDFLARE -s 190.93.240.0/20  -j ACCEPT
iptables -A CLOUDFLARE -s 197.234.240.0/22 -j ACCEPT
iptables -A CLOUDFLARE -s 198.41.128.0/17  -j ACCEPT


ip6tables -A CLOUDFLARE -s 2400:cb00::/32 -j ACCEPT
ip6tables -A CLOUDFLARE -s 2405:8100::/32 -j ACCEPT
ip6tables -A CLOUDFLARE -s 2405:b500::/32 -j ACCEPT
ip6tables -A CLOUDFLARE -s 2606:4700::/32 -j ACCEPT
ip6tables -A CLOUDFLARE -s 2803:f800::/32 -j ACCEPT
ip6tables -A CLOUDFLARE -s 2c0f:f248::/32 -j ACCEPT
ip6tables -A CLOUDFLARE -s 2a06:98c0::/29 -j ACCEPT

# use ipset

ipset flush CLOUDFLAREv4
ipset destroy CLOUDFLAREv4
ipset create CLOUDFLAREv4 hash:net
ipset add CLOUDFLAREv4

ipset add CLOUDFLAREv4 103.21.244.0/22  
ipset add CLOUDFLAREv4 103.22.200.0/22  
ipset add CLOUDFLAREv4 103.31.4.0/22    
ipset add CLOUDFLAREv4 104.16.0.0/12    
ipset add CLOUDFLAREv4 108.162.192.0/18 
ipset add CLOUDFLAREv4 131.0.72.0/22    
ipset add CLOUDFLAREv4 141.101.64.0/18  
ipset add CLOUDFLAREv4 162.158.0.0/15   
ipset add CLOUDFLAREv4 172.64.0.0/13    
ipset add CLOUDFLAREv4 173.245.48.0/20  
ipset add CLOUDFLAREv4 188.114.96.0/20  
ipset add CLOUDFLAREv4 190.93.240.0/20  
ipset add CLOUDFLAREv4 197.234.240.0/22 
ipset add CLOUDFLAREv4 198.41.128.0/17  
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m set --match-set CLOUDFLAREv4 src -j ACCEPT

禁止其他来源的http和https流量。

iptables -A CLOUDFLARE -j DROP
ip6tables -A CLOUDFLARE -j DROP

默认策略

全局禁止（重要），相当于cisco路由器最后配置的deny tcp any any

iptables -P INPUT DROP
ip6tables -P INPUT DROP

全局允许（默认，不安全）

iptables -P INPUT ACCEPT
ip6tables -P INPUT ACCEPT

永久保存iptables

debian/ubuntu

安装iptables-persistent

apt install iptables-persistent

保存ipv4：

iptables-save > /etc/iptables/rules.v4

保存ipv6：

ip6tables-save > /etc/iptables/rules.v6

恢复ipv4：

iptables-restore < /etc/sysconfig/iptables

centos/rhel

保存

service iptables save

欢迎使用 Typecho

作者: liantian
时间: 2020-11-10
分类: 默认分类
1 条评论

如果您看到这篇文章,表示您的 blog 已经安装成功.