git.roojs.org Git - Pman.Admin/blob - Iptables.php

   1 <?php
   2 /***
   3  * how this might work..
   4  *
   5  * a) login - if it's a new IP not seen that day
   6  * --> touch /tmp/run_pman_admin_iptables
   7  *
   8  * cron every minute... ?? << could do some kind of IPC?!?
   9  *
  10  * if file exists -> run this code.
  11  *
  12  * This code finds all the IP's used in the last 24 hours.
  13  * and opens the firew all for them.
  14  *
  15  *
  16  *
  17  *
  18  *
  19
  20
  21  *
  22  *
  23  */
  24
  25 require_once 'Pman.php';
  26
  27 class Pman_Admin_Iptables extends Pman {
  28
  29     static $cli_desc = "Read ip addresses that have been used to log in, and add them to the iptables list..";
  30
  31
  32
  33     function getAuth()
  34     {
  35         if (!$this->bootLoader->cli) {
  36             die("cli only");
  37         }
  38     }
  39
  40     function monitorFile()
  41     {
  42         $ev = DB_DataObject::Factory('Events');
  43         $db = $ev->database();
  44
  45         return '/tmp/run_pman_admin_iptables-'.$db;
  46     }
  47
  48     function get($opt = '')
  49     {
  50
  51         // monitor file
  52
  53         $mf = $this->monitorFile();
  54
  55         $fe = file_exists($mf);
  56         if (empty($opt)) {
  57             if (!$fe) {
  58                 exit;
  59             }
  60         }
  61         if ($fe) {
  62             unlink($mf);
  63         }
  64
  65         // find IP's that have been used to log in.
  66         // dump them to the iptables file.
  67         // if it's different - apply it...
  68         //DB_DataObject::debugLevel(1);
  69         // need to get a list of users who have Admin.Iptables rights..
  70         /*$gr = DB_DataObject::factory('group_rights');
  71         $grps = $gr->groupsWithRights('Admin.Iptables', 'S');
  72
  73         $gr = DB_DataObject::factory('groups');
  74         $gr->get('name', 'Administrators');
  75         $grps[] = $gr->id;
  76
  77         $gm = DB_DataObject::factory('group_members');
  78         $gm->whereAddIn('group_id', $grps, 'int');
  79         $gm->selectAdd();
  80         $gm->selectAdd('distinct(user_id) as user_id');
  81         $peps = $gm->fetchAll('user_id');
  82
  83
  84         */
  85
  86
  87         $p = DB_DataObject::Factory('Person');
  88         $p->autoJoin();
  89         $p->whereAdd("join_company_id_id.comptype = 'OWNER'");
  90         $p->selectAdd();
  91         $p->selectAdd("{$p->tableName()}.id as  id");
  92
  93         $peps = $p->fetchAll('id');
  94
  95
  96         $e = DB_DataObject::factory('Events');
  97         $e->action = 'LOGIN';
  98         $e->selectAdd();
  99         $e->selectAdd('distinct(ipaddr) as ipaddr');
 100         $e->person_table = DB_DataObject::factory('person')->tableName();
 101         $e->whereAddIn('person_id', $peps, 'int');
 102         switch( $e->getDatabaseConnection()->phptype) {
 103             case 'mysql':
 104                 $e->whereAdd("event_when > NOW() - INTERVAL 1 DAY");
 105                 break;
 106             case 'pgsql':
 107                 $e->whereAdd("event_when > NOW() - INTERVAL '1 DAY'");
 108                 break;
 109         }
 110         $ips = $e->fetchAll('ipaddr');
 111
 112         //inet addr:202.67.151.28  Bcast:202.67.151.255  Mask:255.255.255.0
 113         $ifconfig = System::which('ifconfig');
 114
 115         if (!$ifconfig) {
 116             $this->jerr("ifconfig could not be found.");
 117         }
 118
 119         $if = $this->exec($ifconfig);
 120
 121
 122         foreach(explode("\n", $if) as $l) {
 123             //var_dump($l);
 124             if (!preg_match('/inet addr/', $l)) {
 125                 continue;
 126             }
 127             $match = array();
 128             preg_match('/\s*inet addr:([0-9.]+)\s+/', $l, $match);
 129              $ips[] = $match[1];
 130
 131         }
 132         $this->ips = $ips;
 133         $cache = ini_get('session.save-path') . '/pman_admin_iptables.cache';
 134
 135         $this->updateTables();
 136
 137
 138         exit;
 139
 140     }
 141     function updateTables()
 142     {
 143
 144         require_once 'System.php';
 145
 146         $iptables = System::which('iptables');
 147
 148          if (!$iptables) {
 149             $this->jerr("iptables could not be found.");
 150         }
 151         // this should have been set up already..
 152         // in the base firewall code.
 153
 154
 155         // -A INPUT -p udp -m udp --dport 5432 -j postgres
 156         // -A INPUT -p tcp -m tcp --dport 5432 -j postgres
 157
 158
 159         // /sbin/iptables -L postgres -v -n --line-numbers
 160
 161         $res = $this->exec("{$iptables} -L postgres -v -n --line-numbers");
 162
 163
 164         $lastrulenum = 1;
 165
 166         $remove = array();
 167
 168         foreach(explode("\n", $res) as $i => $line) {
 169             if ($i == 1) {
 170                 $head = preg_split('/\s+/', $line);
 171                 $head[10] = 'comments';
 172             }
 173             if ($i < 2) {
 174                 continue;
 175             }
 176
 177             $ar = preg_split('/\s+/', $line);
 178             if (count($ar) < 3) {
 179                 continue;
 180             }
 181             $ar[10] = implode(' ',array_slice($ar, 10));
 182             $row = array();
 183             foreach($head as $k=>$v) {
 184                 $row[$v] = $ar[$k];
 185             }
 186             print_r($row);
 187
 188             if ($row['target'] != 'INPUT') {
 189                 continue;
 190             }
 191             // got input rules now..
 192             if (!empty($row['comment'])) {
 193                 foreach((array)json_decode($row['comment']) as $k=>$v) {
 194                     $row[$k] = $v;
 195                 }
 196             }
 197             if (!empty($row['expires'])) {
 198                 if (strtotime($row['expires']) < time()) {
 199                     $remove[ $row['source'] ] = $row;
 200                 }
 201             }
 202             $old[ $row['source'] ] = $row;
 203
 204         }
 205         exit;
 206         //--comment
 207
 208
 209
 210         foreach($this->ips as $ip=>$expires) {
 211             $old = isset($cur[$ip]) ? $cur[$ip] : false;
 212             if ($old) {
 213                 if (strtotime($expires) <= strtotime($old['expires'])) {
 214                     // expires time is the same..
 215                     //?? make sure it's not flagged for removal..
 216
 217                     continue;
 218                 }
 219             }
 220
 221             if ($old) {
 222                 $this->exec("{$iptables} -R postgres {$old['num']} -s {$ip}/32 -j ACCEPT --comment ".
 223                     escapeshellarg(json_encode(array('expires'=>$expires)))) ;
 224
 225                 if (isset($remove[$ip])) {
 226                     unset($remove[$ip]);
 227                 }
 228                 continue;
 229             }
 230
 231             $this->exec("{$iptables} -I postgres {$lastrulenum} -s {$ip}/32 -j ACCEPT --comment ".
 232                     escapeshellarg(json_encode(array('expires'=>$expires))));
 233
 234
 235         }
 236
 237         // remove rules that need deleting..
 238         foreach($remove as $ip => $r) {
 239             $this->exec("{$iptables} -d postgres {$r['num']} ");
 240
 241         }
 242
 243
 244         $this->exec($iptables. ' -A postgres -m limit --limit 2/min -j LOG '.
 245                         '--log-prefix "IPTables-Dropped: " --log-level 4');
 246         $this->exec("$iptables -A postgres -j DROP");
 247
 248
 249     }
 250
 251
 252     function createBase()
 253     {
 254
 255         $iptables = System::which('iptables');
 256         if (!$iptables) {
 257             $this->jerr("iptables could not be found.");
 258         }
 259
 260
 261
 262         $this->exec("{$iptables} -F postgres"); // flush old
 263         $this->exec("{$iptables} -N postgres");  // create new..
 264
 265         $this->exec($iptables. ' -A postgres -m limit --limit 2/min -j LOG '.
 266                         '--log-prefix "IPTables-Dropped: " --log-level 4');
 267         $this->exec("$iptables -A postgres -j DROP");
 268
 269
 270
 271
 272
 273     }
 274
 275     function exec($cmd)
 276     {
 277         echo "$cmd\n";
 278         $ret =  `$cmd`;
 279         echo $ret."\n";
 280         return $ret;
 281     }
 282
 283 }