Android下基于Iptables的一种app网络访问控制方案(一)[通俗易懂]

Android下基于Iptables的一种app网络访问控制方案(一)[通俗易懂]1.什么是Iptable?百度百科对于Iptables有详细的介绍。简单地说,Iptables是Linux内核提供的一套IP信息包过滤系统,对外由Iptables命令提供设置过滤规则的入口。Android是基于Linux的操作系统,支持Iptables。执行Iptables命令需要root权限。 2.如何配置Iptables命令链?假设一个安卓系统网络访问管理体系,需要针对不同

大家好,又见面了,我是你们的朋友全栈君。

1.什么是Iptable

百度百科对于Iptables有详细的介绍。简单地说,IptablesLinux内核提供的一套IP信息包过滤系统,对外由Iptables命令提供设置过滤规则的入口。

Android是基于Linux的操作系统,支持Iptables。执行Iptables命令需要root权限。

 

2.如何配置Iptables命令链?

假设一个安卓系统网络访问管理体系,需要针对不同的app、不同的域名配置不同的网络访问控制策略(允许访问/禁止访问),譬如,规定使用UC浏览器可以访问sina,使用360浏览器不可以访问sohu,等等。

root过的Android设备上,通过adb shell,调试Iptables命令链。

 

1步:根据user id区分不同的app

Android系统安装apk的时候,会为每一个应用分配一个userIduserId在此设备上将唯一且不再变化(但同一个app在不同的设备上userId可能不同)。另外,应用也可以通过在AndroidManifest.xml中通过android:shareUserId字段来和其他应用共享userId,但有其他限制,比如签名等,此处不展开。

Android系统中/data/system/packages.xml用来记录系统中所有安装的应用信息,其中可以查到userId。针对某一个应用,根据其包名查到userId。包名可以通过在手机上启动应用,然后adb shell下通过dumpsys window查看。假设查到UC浏览器的userId10060

简便起见,即以10060UC使用的规则链(chain)名。

 

2步:创建规则链并且关联到app

adb shell下执行命令创建规则链:

iptables -N 10060

执行下面命令将规则链10060UC浏览器关联:

iptables -A OUTPUT -m owner –uid-owner 10060 -j 10060

语义说明:向OUTPUT规则链附加一条规则:如果IP信息报匹配到uid10060,则跳转(-j)到规则链10060iptables支持区分不同的uid以跳转到不同的规则链。通过iptables -L可以查询到当前内核已有的规则链。其中OUTPUT是内核自动创建的处理本地生成的IP信息包的规则链。

在具体配置规则链10060之前,可以运行下面命令将10060内容清掉:

iptables -F 10060

为什么要在OUTPUT中添加规则链,而不是在INPUT

因为往往需要实现网络访问白名单功能,即允许访问某个域名,其他的不允许。有很多网站的内容IP包并不仅仅是自己的域名下,还包括一些其他的域名,譬如新浪的域名是http://www.sina.com.cn/,新浪微博的域名是http://weibo.com/,新浪域名下的很多网页可能内容来自新浪微博。这种情况难以统计清楚或预估,所以如果在INPUT中只放行白名单域名关键字的IP包,往往会丢失内容。

OUTPUT中添加规则链,利用Http协议中的Host头域,只放行白名单域名的请求。能更好的地实现白名单需求。

 

3步:配置访问规则

白名单功能:

允许访问某一域名(www.abc.com)禁止访问其他域名

iptables -A 10060 -p tcp -m string –string Host: –algo bm -j MARK –set-mark 1

iptables -A 10060 -p tcp -m mark –mark 1 -m string –string abc –algo bm -j ACCEPT

iptables -A 10060 -p tcp -m mark –mark 1 -j REJECT

 

黑名单功能:

禁止访问某一域名(www.abc.com)允许访问其他域名

iptables -A 10060 -m string –string abc –algo bm -j REJECT

iptables -A 10060 -j ACCEPT

 

说明:对于黑名单,逻辑比较简单,只要把所有包含abcIPREJECT即可,其余的ACCEPT,即使没有第二条命令,默认也是ACCEPT

对于白名单,针对Host头域,原因如上。对于包含HostIP包先做一次mark(标记),然后对此标记的IP包判断是否包含abc

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/163439.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)


相关推荐

  • GridLayout详解

    GridLayout详解GridLayoutGridLayout是一个非常强大的布局管理器,它可以实现很多复杂的布局,名字中暗示它将所有控件放置在类似网格的布局中.^__^GridLayout有两个构造函数.GridLayout的构造函数构造函数描述publicGridLayout()建立一个默认的GridLayout布局.publicGridLayout(intnumCo…

  • SPSS-聚类分析[通俗易懂]

    SPSS-聚类分析[通俗易懂]聚类分析(层次聚类分析(Q型聚类和R型聚类)、快速聚类分析)聚类分析的实质:是建立一种分类方法,它能够将一批样本数据按照他们在性质上的亲密程度在没有先验知识的情况下自动进行分类。这里所说的类就是一个具有相似性的个体的集合,不同类之间具有明显的区别。聚类分析的特点:聚类分析是一种探索性的分析,在分类的过程中,人们不必事先给出一个分类的标准,聚类分析能够从样本数据出发,自动进行分类。1.层次…

    2022年10月18日
  • cmake编译时遇到的问题解决

    cmake编译时遇到的问题解决

  • C++中截取字符串和识别字符位置

    C++中截取字符串和识别字符位置

  • PHP轻量级在线客服系统源码 自适应手机移动端「建议收藏」

    PHP轻量级在线客服系统源码 自适应手机移动端「建议收藏」简介:支持多商家支持多商家,每个注册用户为一个商家,每个商家可以添加多个客服。不限坐席每个商家可以无限添加坐席,不限制坐席数支持H5移动端系统自动适配移动端,也可以接入app(h5方式)支持微信公众号/微信小程序客服可以与微信公众号/小程序里的访客实时沟通常见问题自动回复支持设置常见问题,顾客可以点击常见问题系统会自动回复客服分组支持客服分组,例如售前客服,售后客服等,让专业的人员干专业的事情微信表情微信emoji表情全套支持发送图片、txt、zip、pdf、xls、doc…

  • 常用矩阵范数_矩阵相减的范数

    常用矩阵范数_矩阵相减的范数(1)矩阵的核范数:矩阵的奇异值(将矩阵svd分解)之和,这个范数可以用来低秩表示(因为最小化核范数,相当于最小化矩阵的秩——低秩); (2)矩阵的L0范数:矩阵的非0元素的个数,通常用它来表示稀疏,L0范数越小0元素越多,也就越稀疏。 (3)矩阵的L1范数:矩阵中的每个元素绝对值之和,它是L0范数的最优凸近似,因此它也可以近似表示稀疏; (4)矩阵的F范数:矩阵的各个元素…

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号