一時的ＩＰアドレス制限を変える簡単なスクリプトを探しています。

Question

iptable (ufw) でアクセス制限かけているサイト（開いているのは、port 80,443 )のサイトで、ssh のアクセスを一時的に簡単に外すスクリプトのサンプルご存知の方がいらっしゃったらお教えください。
あるＵＲＬにアクセスすると、しばらくそのＩＰアドレスに対して、ＳＳＨのアクセスを許可するようなものです。php でなんとか作ろうと思えばつくれるのですが、すでに同様の機能をもつスクリプトが公開され、よくつかわれているならそういったものを使いたいのです。

少し違いますが、port knocking というのを見つけました。
いろいろあると思いますが、よさげなものを教えてください。
http://www.atmarkit.co.jp/fsecurity/rensai/securitytips/044knockd.html

Answer 1

危険なので辞めた方がよいのでは。
iptablesやSSHの設定変更等は、一般的にはroot権限が必要なはずです。
PHPでそれらをどうにかするという事は、WEBサーバの動作権限でroot権限を使った作業が行える事になり、かなり危険に思えます。

仮にPHPでIPアドレスのリストファイルを作成し、cron等でそのリストファイルにあるIPアドレスを許可する形を取ったとしても、ファイルを作成しているのがWEBサーバ権限である以上、同レベルの問題となるかと思います。

そのPHPが動作するWEBサーバへのアクセスは特定のIPアドレスからに限定され、クライアント証明書付きのアクセスを必須とし、当然ながらアクセスの際にはID/PWによる認証があるというような形を取るくらいはすべきかと思います。

ちなみに実際のスクリプトですが、サーバ環境によって構成が異なる場合も多いため、一般的なモノでは作られていないのではないかなと思います。
社内ツールの一つとして用意がある会社はあるかも知れませんが。

Answer 2

ざっとググった感じでは動的にiptablesの設定を変更したいというのはポツポツとあるみたいです。ただよく使われるというのは見つかりませんでした。
rootでiptablesの設定を変えるスクリプト(仮にupdate.sh)をcronで定期的に回すという考え方が多そうなのでPHPからwhite listのファイルを作ってupdate.shで読み込むとかでしょうか。

要件が変わってしまいますが、アクセス元のIPが固定できないという理由なら踏み台サーバーを用意して必要なときだけ踏み台サーバーを起動するなどもあるかと思いますし、SSHで何をしたいかにもよりますが、決まった作業ならapacheを実行しているユーザーでSSHを実行して別ユーザーとしてコマンドを実行させるのもありかと思います。

Comments

[zanjibar]

いろいろソリューションはあると思うので、port knocking　のようなのが他にないかなと探している次第です。もう少し回答まってみます。