主页 / server / 问题 / 419085
Accepted
dotancohen
Asked: 2012-08-20 07:06:52 +0800 CST

如何只允许 PHP 传出连接到特定服务器？

  • 772

在运行相当新的 Apache 和 PHP 5.2 的基于 Red Hat 的主机上，我们使用solr-php-client库连接到外部 Solr 服务器。此库需要启用PHP 指令allow_url_fopen 。因此，我想通过 iptables 禁用传出 PHP 连接，而不是连接到必要的服务器。

谷歌搜索适当的 iptables 规则会导致许多错误的路径。什么规则允许 PHP 通过 CURL 或 fopen() 连接到特定服务器，但不允许其他服务器？

谢谢你。

apache-2.2

2 个回答

  1. Best Answer

    使用不仅基于目标地址/端口而且还基于源用户进行过滤的 iptables 规则怎么样？

    iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner uidForYourApacheUser -p tcp --dport 80 -d yourServerIp -j ACCEPT
iptables -A OUTPUT -m owner --uid-owner uidForYourApacheUser -p tcp --dport 80 -j REJECT

    如果需要，您可以使用su-php在与 apache 不同的 uid 下运行您的 sorl 脚本。

    • 4

  2. 这是行不通的。您不能通过 iptable 禁用 PHP 连接。iptables 不知道哪个进程打开连接。

    您可能想要做的是禁用除一个目标 IP 之外的所有传出连接。但是你会破坏任何合法的传出流量。

    提示：一种安全设置可能是安装一个过滤代理并禁用除代理之外的所有流量，但这是一项繁重的工作。

    • 1

相关问题