corpusops/ms_iptables

ms_iptables 镜像文档

镜像概述

ms_iptables是一个基于Python编写的轻量级防火墙工具，核心功能是通过JSON配置文件管理iptables或其他安全二进制文件的规则。其设计特点是确保规则不会重复应用，且与shorewall、firewalld等有状态防火墙不同，不会重置当前防火墙状态，仅尝试添加新规则。

核心功能与特性

• JSON配置驱动：通过JSON格式文件定义防火墙规则，配置简单直观
• 防重复机制：自动检测并避免重复添加相同规则
• 非破坏性操作：不重置现有防火墙状态，仅增量添加规则
• 多工具兼容：支持iptables及其他安全二进制文件
• 轻量设计：基于Python实现，部署简单，资源占用低

使用场景与适用范围

• 需要通过配置文件快速管理防火墙规则的场景
• 需保留现有防火墙状态，仅添加新规则的环境
• Docker容器网络安全策略配置
• 自动化脚本或CI/CD流程中的防火墙规则部署
• 对防火墙状态变更有严格控制需求的系统

使用方法与配置说明

关联文档

详细使用指南请参考以下文档：

• 使用说明
• 安装指南
• Docker环境使用

补丁开发

如需贡献代码补丁，需编辑源代码模板文件：hacking/ms_iptables.py.in

必要系统配置

使用ms_iptables时，需确保以下sysctl参数已正确设置：

• net.ipv4.ip_forward: 1（启用IPv4转发功能）
• net.ipv6.conf.all.forwarding: 1（启用IPv6转发功能）

临时设置命令：

bash
sysctl -w net.ipv4.ip_forward=1
sysctl -w net.ipv6.conf.all.forwarding=1

永久生效配置： 编辑/etc/sysctl.conf文件，添加上述参数，执行sysctl -p应用配置。

Docker部署示例

docker run命令

bash
docker run -d \
  --name ms_iptables \
  --privileged \
  -v /path/to/rules.json:/etc/ms_iptables/rules.json \
  -v /proc/sys/net:/proc/sys/net \
  docker.xuanyuan.run/ms_iptables:latest

参数说明：

• --privileged: 赋予容器操作iptables的权限
• -v /path/to/rules.json:/etc/ms_iptables/rules.json: 挂载JSON规则配置文件
• -v /proc/sys/net:/proc/sys/net: 挂载sysctl配置目录，确保网络参数可配置

docker-compose配置

yaml
version: '3'
services:
  ms_iptables:
    image: ms_iptables:latest
    container_name: ms_iptables
    privileged: true
    volumes:
      - /path/to/rules.json:/etc/ms_iptables/rules.json
      - /proc/sys/net:/proc/sys/net
    restart: unless-stopped