linux - 如何为在随机端口上运行的自定义程序启用 Linux 防火墙(ufw)

Question

用python编写的程序，它选择可用于TCP和UDP通信的随机端口。如果我通过运行 sudo ufw enable 启用 Linux 防火墙(ufw) .我们可以通过给出允许任何端口
sudo ufw allow port_number .由于程序可以在运行时使用任何随机端口，因此不能告诉 ufw 允许任何特定端口。有什么方法可以告诉 ufw 允许 prog 通过向 ufw 提供程序名称来访问任何随机端口，就像在 windows 中一样。在 windows 防火墙中，我们可以提供以下命令来允许 myprog 访问所有端口

netsh advfirewall firewall add rule name=rule_name_udp dir=in action=allow protocol=UDP localport=any program=path/myprog.exe

有什么方法可以让我的自定义程序使用 ufw 访问 udp/tcp 与 ufw enable 通信？

提前感谢大家。

Answer 1

您可以将您的应用程序包装到 systemd 服务中，并使用启动后 Hook 来调用额外的 bash 脚本，该脚本会在防火墙中打洞。

/path/to/python/app/assistant-ufw-hole-puncher

#!/bin/bash

#extra sleep for prespawn script
sleep 2

#punch holes for TCP ports
ports=`sudo netstat -ntlp 2>&1 |grep yourapp | sed -r 's/(.*:)([0-9]*)(\s.*)/\2/'|sort|uniq`
for port in $ports ; do
  sudo ufw allow $port
done

#punch holes for UDP ports
ports=`sudo netstat -nulp 2>&1 |grep yourapp | sed -r 's/(.*:)([0-9]*)(\s.*)/\2/'|sort|uniq`
for port in $ports ; do
  sudo ufw allow $port
done

您也可以在启动脚本之前生成此脚本，但您需要添加额外的 sleep 以等待 python 脚本启动。

#!/bin/bash

/path/to/python/app/assistant-ufw-hole-puncher &
python ./your-app.py