Python Linux Netfilter 防火墙开发指南

使用 Python 编写防火墙规则脚本，通过 Linux Netfilter 框架操作防火墙规则，实现灵活、强大的网络安全控制。

Netfilter 是 Linux 内核中用于处理网络数据包的框架，可以实现防火墙、网络地址转换 (NAT)、负载均衡、流量控制等功能。

通过 Python 和 Netfilter 框架开发 Linux 防火墙，您可以编写 Python 脚本配置 iptables 规则，实现自定义防火墙功能。iptables 是基于 Netfilter 的命令行工具，用于配置 Linux 防火墙规则。

以下是一个使用 Python 和 Netfilter 框架开发 Linux 防火墙的示例代码：

import subprocess

# 清空 iptables 规则
subprocess.call(['iptables', '-F'])

# 允许所有本地流量
subprocess.call(['iptables', '-A', 'INPUT', '-i', 'lo', '-j', 'ACCEPT'])
subprocess.call(['iptables', '-A', 'OUTPUT', '-o', 'lo', '-j', 'ACCEPT'])

# 允许相关和已建立的连接
subprocess.call(['iptables', '-A', 'INPUT', '-m', 'state', '--state', 'RELATED,ESTABLISHED', '-j', 'ACCEPT'])
subprocess.call(['iptables', '-A', 'OUTPUT', '-m', 'state', '--state', 'RELATED,ESTABLISHED', '-j', 'ACCEPT'])

# 允许 SSH 连接
subprocess.call(['iptables', '-A', 'INPUT', '-p', 'tcp', '--dport', '22', '-j', 'ACCEPT'])

# 其他流量全部拒绝
subprocess.call(['iptables', '-P', 'INPUT', 'DROP'])
subprocess.call(['iptables', '-P', 'OUTPUT', 'DROP'])
subprocess.call(['iptables', '-P', 'FORWARD', 'DROP'])

这段代码会清空 iptables 规则，并添加一些基本规则，允许本地流量、相关和已建立的连接、SSH 连接，拒绝其他流量。

为了使 iptables 规则生效，需要在系统启动时加载规则。您可以将规则保存到 /etc/iptables/rules.v4 文件中，并在 /etc/network/if-pre-up.d/iptables 脚本中加载规则。具体操作请参考 Linux 官方文档。