站長資訊網
最近我遇到一個需求，我的一臺服務器總是遭到端口掃描和惡意登錄攻擊，對此可以怎么辦呢？似乎除了內網隔離、增強密碼認證、證書登錄、設置防火墻
這些方案實際上都無法解決我的問題。這是一臺公網服務器，并沒有什么復雜的網絡結構，所以不能建立內網隔離。調整賬號的密碼策略，自然是一個方案，但是人工操作太麻煩，而且我一般經常換電腦使用，如果修改密碼，公司的和家里的電腦都要更新，很麻煩。設置防火墻自然是運維的基本操作，但是
那怎么辦呢，作為一個資深的
整個項目不到幾個小時就研發完了，起碼滿足了我自己的需求，并且實現了這樣幾個特性：
- 多進程
- 支持并發
- 守護進程
- 可以通過網頁面板管理
IP - 流量統計
- 攔截記錄
現在我們來一步一步的實現這個系統。
第一步，首先能夠簡簡單單的過濾IP
使用
- 運行簡單穩定
- 方法接口簡單
- 內置進程守護
至于具體的安裝方法，可以參考他的官方文檔。
$worker = new Worker('tcp:0.0.0.0:' . Config::get('door.port_in')); // 監聽一個端口 $worker->count = 2; // 設置多進程 $worker->onConnect = function (TcpConnection $connection) { // 獲取IP白名單 $list_ip = AppIp::where('status', 0)->cache(3)->column('ip'); $remote_ip = $connection->getRemoteIp(); // 攔截IP if (!in_array($remote_ip, $list_ip)) { $connection->close(); } // 放行連接，連接內部目標端口 $to_connection = new AsyncTcpConnection('tcp:127.0.0.1:' . Config::get('door.port_to')); // 互相轉發流量 $connection->pipe($to_connection); $to_connection->pipe($connection); $to_connection->connect(); }
正如上面代碼所示，只有簡單幾行，便實現了
第二步，與ThinkPHP 命令行整合在一起
為了項目開發方便，我都會使用
最終實現的命令行效果如下：
運行命令 php think door start php think door start --mode d // 守護進程重啟 重啟 php think door restart 停止 php think door stop
<?php declare(strict_types=1); namespace appcommoncommand; use thinkconsoleCommand; use thinkconsoleInput; use thinkconsoleinputArgument; use thinkconsoleinputOption; use thinkconsoleOutput; class Door extends Command { protected function configure() { // 指令配置 $this->setName('door') // 設置think的命令參數 ->addArgument('action', Argument::OPTIONAL, "start|stop|restart|reload|status|connections", 'start') ->addOption('mode', 'm', Option::VALUE_OPTIONAL, 'Run the workerman server in daemon mode.') ->setDescription('the door command'); } protected function execute(Input $input, Output $output) { // 指令輸出 $output->writeln('door'); $action = $input->getArgument('action'); $mode = $input->getOption('mode'); // 重新構造命令行參數,以便兼容workerman的命令 global $argv; $argv = []; array_unshift($argv, 'think', $action); if ($mode == 'd') { $argv[] = '-d'; } else if ($mode == 'g') { $argv[] = '-g'; } // ...workerman的代碼 } }
在上面的代碼中，主要做了兩件事：
- 實現
ThinkPHP 的命令設置 - 將命令參數重新構造為
workerman 兼容的方式
第三步，實現管理面板
使用
最終效果如下：
以上是
對于面板的管理，這里多做介紹，這算是
第四步，進階，更好的性能和流量統計
我們的
流量統計
首先我們將第一個步中，流量轉發部分的代碼改造成如下的樣子：
<?php // 向TO發起連接 $to_connection = new AsyncTcpConnection('tcp://127.0.0.1:' . Config::get('door.port_to')); $to_connection->onMessage = function ($source, $data) use ($connection, $remote_ip) { // 接收到來自TO的數據，返回的數據 $connection->send($data); // 將流量統計存儲到內存里 Cache::inc(md5($remote_ip) . '-to', strlen($data)); }; // 流程和流量控制 $to_connection->onClose = function ($source) use ($connection) { $connection->close(); }; $connection->onBufferFull = function ($dest) use ($to_connection) { $to_connection->pauseRecv(); }; $connection->onBufferDrain = function ($dest) use ($to_connection) { $to_connection->resumeRecv(); }; $connection->onMessage = function ($source, $data) use ($to_connection, $remote_ip) { // 接收來自IN的數據,請求的數據 $to_connection->send($data); // 將流量統計存儲到內存里 Cache::inc(md5($remote_ip) . '-in', strlen($data)); }; // 流程和流量控制 $connection->onClose = function ($source) use ($to_connection) { $to_connection->close(); }; $to_connection->onBufferFull = function ($dest) use ($connection) { $connection->pauseRecv(); }; $to_connection->onBufferDrain = function ($dest) use ($connection) { $connection->resumeRecv(); };
在第一部的代碼中，只用兩行便實現了這些代碼：
// 放行連接，連接內部目標端口 $to_connection = new AsyncTcpConnection('tcp:127.0.0.1:' . Config::get('door.port_to')); // 互相轉發流量 $connection->pipe($to_connection); $to_connection->pipe($connection);
這里使用的是
這里我們將統計的數據存儲到緩存里，而不是直接連接數據庫更新，這是為了更好的連接性能。我們會另外開啟一個進程將這些改動更新到數據庫。后面會介紹到。
攔截統計
我們將第一步中的加載
<?php $worker->onConnect = function (TcpConnection $connection) { $disable_cache_key = 'disable_ip_list'; $list_ip = Cache::get($disable_cache_key); if (empty($list_ip)) { $connection->close(); } $remote_ip = $connection->getRemoteIp(); if (!in_array($remote_ip, $list_ip)) { AppIpReject::initRecord($remote_ip); $connection->close(); } };
在這里我們不連接數據庫查詢，而是直接從本地緩存讀取白名單，這樣會有更好的性能。我們會在另一個進程中更新這份白名單。
另外我們可以看到，攔截的
高性能處理緩存數據
上面我們介紹，我們會另外開啟一個進程，維護
<?php $worker_ip = new Worker(); $worker_ip->name = 'report'; $worker_ip->onWorkerStart = function () { Timer::add(5, function () { $disable_cache_key = 'disable_ip_list'; $list_ip = AppIp::where('status', 1)->column('ip'); Cache::set($disable_cache_key, $list_ip); foreach ($list_ip as $ip) { $ip_md5 = md5($ip); $in_length = Cache::pull("$ip_md5-in"); // 請求的數據 $to_length = Cache::pull("$ip_md5-to"); // 返回的數據 if (!empty($in_length) || !empty($to_length)) { $model_ip = AppIp::where('ip', $ip)->find(); $model_ip->in_buffer += $in_length; $model_ip->to_buffer += $to_length; $model_ip->save(); } } }); };
他做的事情很簡單，讀取緩存，更新數據到數據庫，并且更新
下一步，更好的性能設計
以上，只有幾行代碼，幾個小時（如果不含設計系統的時間，代碼量可能只有一兩個小時
更好的內存驅動
這里使用的是
但是使用內存緩存，
但實際上，
更好的客戶端
目前攔截
實際上，我們可以將客戶端的代碼，另外開一個項目，使客戶端和面板獨立開。在面板上實現通用得
但是這樣也帶來的
