[BACK]Return to Firewall.pm CVS log [TXT] [DIR] Up to [LON-CAPA] / loncom / configuration

Diff for /loncom/configuration/Firewall.pm between versions 1.2 and 1.14

version 1.2, 2009/06/11 13:01:56 version 1.14, 2014/03/17 14:47:46
Line 35  package LONCAPA::Firewall; Line 35  package LONCAPA::Firewall;
 use strict;  use strict;
 use lib '/home/httpd/perl/lib';  use lib '/home/httpd/perl/lib';
 use LONCAPA::Configuration;  use LONCAPA::Configuration;
   use LONCAPA;
 # Firewall code is based on the code in FC2 /etc/init.d/ntpd  
   
 sub firewall_open_port {  sub firewall_open_port {
     my ($iptables,$fw_chain,$lond_port,$iphost,$ports) = @_;      my ($iptables,$fw_chains,$lond_port,$iphost,$ports) = @_;
     return 'inactive firewall' if (!&firewall_is_active());      return 'inactive firewall' if (!&firewall_is_active());
     return 'port number unknown' if !$lond_port;      return 'port number unknown' if !$lond_port;
     my @opened;      return 'invalid firewall chain' unless (ref($fw_chains) eq 'ARRAY');
     if (! `$iptables -L -n 2>/dev/null | grep $fw_chain | wc -l`) {      my (@opened,@chains,@badchains,@okchains);
         return 'Expected chain "'.$fw_chain.'" missing from iptables'."\n";      foreach my $chain (@{$fw_chains}) {
           if ($chain =~ /^([\w\-]+)$/) {
               push(@okchains,$1);
           } else {
               push(@badchains,$chain);
           }
     }      }
     #      if (!@okchains) {
     # iptables is running with expected chain          return 'None of the chain names has the expected format.'."\n";
     #  
     if ($fw_chain =~ /^([\w\-]+)$/) {  
         $fw_chain = $1;  
     } else {  
         return 'Chain name has unexpected format'."\n";  
     }      }
     if (ref($ports) ne 'ARRAY') {      if (ref($ports) ne 'ARRAY') {
         return 'List of ports to open needed.';          return 'List of ports to open needed.';
Line 62  sub firewall_open_port { Line 61  sub firewall_open_port {
         if ($portnum =~ /^(\d+)$/) {          if ($portnum =~ /^(\d+)$/) {
             $port = $1;              $port = $1;
         } else {          } else {
             print "Skipped non-numeric port: $portnum\n";              print "Skipped non-numeric port: $portnum.\n";
             next;              next;
         }          }
         print "Opening firewall access on port $port.\n";          print "Opening firewall access on port $port.\n";
Line 70  sub firewall_open_port { Line 69  sub firewall_open_port {
         if ($port eq $lond_port) {          if ($port eq $lond_port) {
             # For lond port, restrict the servers allowed to attempt to communicate              # For lond port, restrict the servers allowed to attempt to communicate
             # to include only source IPs in the LON-CAPA cluster.              # to include only source IPs in the LON-CAPA cluster.
             my (@port_error,@command_error,@lond_port_open);              my (@port_error,%command_error,@lond_port_open,
                   @lond_port_curropen);
             if (ref($iphost) eq 'HASH') {              if (ref($iphost) eq 'HASH') {
                 if (keys(%{$iphost}) > 0) {                   if (keys(%{$iphost}) > 0) {
                     &firewall_close_anywhere($iptables,$fw_chain,$port);                      my %curropen;
                       foreach my $fw_chain (@okchains) {
                           &firewall_close_anywhere($iptables,$fw_chain,$port);
                           my $current = &firewall_is_port_open($iptables,$fw_chain,$port,$lond_port,$iphost,\%curropen);
                       }
                     foreach my $key (keys(%{$iphost})) {                      foreach my $key (keys(%{$iphost})) {
                         my $ip = '';                          my $ip = '';
                         if ($key =~ /^(\d{1,3})\.(\d{1,3})\.(\d{1,3})\.(\d{1,3})$/) {                          if ($key =~ /^(\d{1,3})\.(\d{1,3})\.(\d{1,3})\.(\d{1,3})$/) {
                             if (($1<=255) && ($2<=255) && ($3<=255) && ($4<=255)) {                              if (($1<=255) && ($2<=255) && ($3<=255) && ($4<=255)) {
                                 $ip = "$1.$2.$3.$4";                                  $ip = "$1.$2.$3.$4";
                             } else {                              } else {
                                   print "IP address: $key does not have expected format.\n";
                                 next;                                  next;
                             }                              }
                         } else {                          } else {
                               print "IP address: $key does not have expected format.\n";
                             next;                              next;
                         }                          }
                         my $firewall_command =                          if ($curropen{$ip}) {
                             "$iptables -I $fw_chain -p tcp -s $ip -d 0/0 --dport $port -j ACCEPT";                              push(@lond_port_curropen,$ip);
                         system($firewall_command);                          } else {
                         my $return_status = $?>>8;                              foreach my $fw_chain (@okchains) {
                         if ($return_status == 1) {                                  my $firewall_command =
                             push (@port_error,$ip);                                      "$iptables -I $fw_chain -p tcp -s $ip -d 0/0 --dport $port -j ACCEPT";
                         } elsif ($return_status == 2) {                                  system($firewall_command);
                             push(@command_error,$ip);                                  my $return_status = $?>>8;
                         } elsif ($return_status == 0) {                                  if ($return_status == 1) {
                             push(@lond_port_open,$ip);                                      unless(grep(/^\Q$ip\E$/,@port_error)) {
                                           push (@port_error,$ip);
                                       }
                                   } elsif ($return_status == 2) {
                                       push(@{$command_error{$fw_chain}},$ip);
                                   } elsif ($return_status == 0) {
                                       push(@lond_port_open,$ip);
                                       last;
                                   }
                               }
                         }                          }
                     }                      }
                   } else {
                       print "no key found in $iphost hash ref\n";
                   }
               } else {
                   print "$iphost is not a reference to a hash\n";
               }
               if (@lond_port_curropen) {
                   unless (grep(/^\Q$port\E$/,@opened)) {
                       push(@opened,$port);
                 }                  }
                   print "Port already open for ".scalar(@lond_port_curropen)." IP addresses.\n";
             }              }
             if (@lond_port_open) {              if (@lond_port_open) {
                 push(@opened,$port);                  unless (grep(/^\Q$port\E$/,@opened)) {   
                 print "Port $port opened for ".scalar(@lond_port_open)." IP addresses\n";                      push(@opened,$port);
                   }
                   print "Port opened for ".scalar(@lond_port_open)." IP addresses.\n";
             }              }
             if (@port_error) {              if (@port_error) {
                 print "Error opening port $port for following IP addresses: ".join(', ',@port_error)."\n";                  print "Error opening port for following IP addresses: ".join(', ',@port_error)."\n";
             }              }
             if (@command_error) {              if (keys(%command_error) > 0) {
                 print "Bad command error opening port for following IP addresses: ".                  foreach my $chain (sort(keys(%command_error))) {
                       join(', ',@command_error)."\n".                      if (ref($command_error{$chain}) eq 'ARRAY') {
                       'Command was: "'."$iptables -I $fw_chain -p tcp -s ".'$ip'." -d 0/0 --dport $port -j ACCEPT".'", where $ip is IP address'."\n";                          if (@{$command_error{$chain}}) {
                               print "Bad command error opening port for following IP addresses: ".
                                     join(', ',@{$command_error{$chain}})."\n".
                                    'Command was: "'."$iptables -I $chain -p tcp -s ".'$ip'." -d 0/0 --dport $port -j ACCEPT".'", where $ip is IP address'."\n";
                           }
                       }
                   }
             }              }
         } else {          } else {
             my $firewall_command =              my (@port_errors,%command_errors);
                "$iptables -I $fw_chain -p tcp -d 0/0 --dport $port -j ACCEPT";              foreach my $fw_chain (@okchains) {
             system($firewall_command);                  my $firewall_command =
             my $return_status = $?>>8;                      "$iptables -I $fw_chain -p tcp -d 0/0 --dport $port -j ACCEPT";
             if ($return_status == 1) {                  system($firewall_command);
                 # Error                  my $return_status = $?>>8;
                 print "Error opening port.\n";                  if ($return_status == 1) {
             } elsif ($return_status == 2) {                      push(@port_errors,$fw_chain);
                 # Bad command                  } elsif ($return_status == 2) {
                 print "Bad command error opening port.  Command was\n".                      $command_errors{$fw_chain} = $firewall_command;
                       "  ".$firewall_command."\n";                  } elsif ($return_status == 0) {
             } elsif ($return_status == 0) {                      push(@opened,$port);
                 push(@opened,$port);                      last;
                   }
               }
               unless (grep(/^\Q$port\E$/,@opened)) {
                   if (@port_errors) {
                       print "Error opening port for chains: ".
                             join(', ',@port_errors).".\n";
                   }
                   if (keys(%command_errors)) {
                       foreach my $fw_chain (sort(keys(%command_errors))) {
                           print "Bad command error opening port for chain: $fw_chain.  Command was\n".
                             "  ".$command_errors{$fw_chain}."\n";
                       }
                   }
             }              }
         }          }
     }      }
Line 137  sub firewall_open_port { Line 183  sub firewall_open_port {
 }  }
   
 sub firewall_is_port_open {  sub firewall_is_port_open {
     my ($iptables,$fw_chain,$port,$lond_port,$iphost) = @_;      my ($iptables,$fw_chain,$port,$lond_port,$iphost,$curropen) = @_;
     # for lond port returns number of source IPs for which firewall port is open      # for lond port returns number of source IPs for which firewall port is open
     # for other ports returns 1 if the firewall port is open, 0 if not.      # for other ports returns 1 if the firewall port is open, 0 if not.
     #      #
     # check if firewall is active or installed      # check if firewall is active or installed
     return if (! &firewall_is_active());      return if (! &firewall_is_active());
     if ($port eq $lond_port) {      my $count = 0;
         my $count ++;      if (open(PIPE,"$iptables -L $fw_chain -n |")) {
         if (ref($iphost) eq 'HASH') {          while(<PIPE>) {
             if (keys(%{$iphost}) > 0) {              if ($port eq $lond_port) {
                 foreach my $ip (keys(%{$iphost})) {                  if (ref($iphost) eq 'HASH') {
                     open(PIPE,"$iptables -L $fw_chain -n 2>/dev/null");                      if (/^ACCEPT\s+tcp\s+\-{2}\s+(\S+)\s+\S+\s+tcp\s+dpt\:\Q$port\E/) {
                     while(<PIPE>) {                          my $ip = $1;
                         $count++ if (/^ACCEPT\s+tcp\s+\-{2}\s+\Q$ip\E\s+/);                          if ($iphost->{$ip}) {
                               $count ++;
                               if (ref($curropen) eq 'HASH') {
                                   $curropen->{$ip} ++;
                               }
                           }
                     }                      }
                     close(PIPE);                  }
               } else {
                   if (/tcp dpt\:\Q$port\E/) {
                       $count ++;
                       last;
                 }                  }
             }              }
         }          }
         return $count;          close(PIPE);
     } else {  
         if (`$iptables -L -n 2>/dev/null | grep "tcp dpt:$port"`) {  
             return 1;  
         } else {  
             return 0;  
         }  
     }      }
       return $count;
 }  }
   
 sub firewall_is_active {  sub firewall_is_active {
Line 175  sub firewall_is_active { Line 225  sub firewall_is_active {
 }  }
   
 sub firewall_close_port {  sub firewall_close_port {
     my ($iptables,$fw_chain,$lond_port,$ports) = @_;      my ($iptables,$fw_chains,$lond_port,$iphost,$ports) = @_;
     return 'inactive firewall' if (!&firewall_is_active());      return 'inactive firewall' if (!&firewall_is_active());
     return 'port number unknown' if !$lond_port;      return 'port number unknown' if !$lond_port;
     if (! `$iptables -L -n 2>/dev/null | grep $fw_chain | wc -l`) {      return 'invalid firewall chain' unless (ref($fw_chains) eq 'ARRAY');
         return 'Expected chain "'.$fw_chain.'" missing from iptables'."\n";      my (@opened,@chains,@badchains,@okchains);
       foreach my $chain (@{$fw_chains}) {
           if ($chain =~ /^([\w\-]+)$/) {
               push(@okchains,$1);
           } else {
               push(@badchains,$chain);
           }
       }
       if (!@okchains) {
           return 'None of the chain names has the expected format.'."\n";
     }      }
     if (ref($ports) ne 'ARRAY') {      if (ref($ports) ne 'ARRAY') {
         return 'List of ports to close needed.';          return 'List of ports to close needed.';
     }      }
     if ($fw_chain =~ /^([\w\-]+)$/) {  
         $fw_chain = $1;  
     } else {  
         return 'Chain name has unexpected format'."\n";  
     }  
     foreach my $portnum (@{$ports}) {      foreach my $portnum (@{$ports}) {
         my $port = '';          my $port = '';
         if ($portnum =~ /^(\d+)$/) {          if ($portnum =~ /^(\d+)$/) {
Line 197  sub firewall_close_port { Line 251  sub firewall_close_port {
             print "Skipped non-numeric port: $portnum\n";               print "Skipped non-numeric port: $portnum\n"; 
             next;              next;
         }          }
         print "Closing firewall access on port $port\n";          print "Closing firewall access on port $port.\n";
         if (($port ne '') && ($port eq $lond_port)) {          if (($port ne '') && ($port eq $lond_port)) {
             my (@port_error,@command_error,@lond_port_close);              my $output;
             my %to_close;              foreach my $fw_chain (@okchains) {
             open(PIPE, "$iptables -n -L $fw_chain |");                  my (@port_error,@command_error,@lond_port_close);
             while (<PIPE>) {                  my %to_close;
                 chomp();                  if (open(PIPE, "$iptables -n -L $fw_chain |")) {
                 next unless (/dpt:\Q$port\E\s*$/);                      while (<PIPE>) {
                 if (/^ACCEPT\s+tcp\s+\-{2}\s+(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})\s+/) {                          chomp();
                     $to_close{$1} = $port;                          next unless (/dpt:\Q$port\E\s*$/);
                           if (/^ACCEPT\s+tcp\s+\-{2}\s+(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})\s+/) {
                               my $ip = $1;
                               my $keepopen = 0;
                               if (ref($iphost) eq 'HASH') {
                                   if (exists($iphost->{$ip})) {
                                       $keepopen = 1; 
                                   }
                               }
                               unless ($keepopen) {
                                   $to_close{$ip} = $port;
                               }
                           }
                       }
                       close(PIPE);
                   }
                   if (keys(%to_close) > 0) {
                       foreach my $ip (keys(%to_close)) {
                           my $firewall_command =
                               "$iptables -D $fw_chain -p tcp -s $ip -d 0/0 --dport $port -j ACCEPT";
                           system($firewall_command);
                           my $return_status = $?>>8;
                           if ($return_status == 1) {
                               push (@port_error,$ip);
                           } elsif ($return_status == 2) {
                               push(@command_error,$ip);
                           } elsif ($return_status == 0) {
                               push(@lond_port_close,$ip);
                           }
                       }
                   }
                   if (@lond_port_close) {
                       $output .= "Port closed for ".scalar(@lond_port_close)." IP addresses.\n";
                   }
                   if (@port_error) {
                       $output .= "Error closing port for following IP addresses: ".join(', ',@port_error)."\n";
                   }
                   if (@command_error) {
                       $output .= "Bad command error opening port for following IP addresses: ".
                             join(', ',@command_error)."\n".
                             'Command was: "'."$iptables -D $fw_chain -p tcp -s ".'$ip'." -d 0/0 --dport $port -j ACCEPT".'", where $ip is IP address'."\n";
                 }                  }
             }              }
             close(PIPE);              if ($output) {
             if (keys(%to_close) > 0) {                   print $output;
                 foreach my $ip (keys(%to_close)) {              } else {
                   print "No IP addresses required discontinuation of access.\n";
               }
           } else {
               foreach my $fw_chain (@okchains) {
                   my (@port_error,@command_error,@lond_port_close);
                   my $to_close;
                   if (open(PIPE, "$iptables -n -L $fw_chain |")) {
                       while (<PIPE>) {
                           chomp();
                           next unless (/dpt:\Q$port\E\s*$/);
                           $to_close = 1;
                       }
                       close(PIPE);
                   }
                   if ($to_close) {
                     my $firewall_command =                      my $firewall_command =
                         "$iptables -D $fw_chain -p tcp -s $ip -d 0/0 --dport $port -j ACCEPT";                          "$iptables -D $fw_chain -p tcp -d 0/0 --dport $port -j ACCEPT";
                     system($firewall_command);                      system($firewall_command);
                     my $return_status = $?>>8;                      my $return_status = $?>>8;
                     if ($return_status == 1) {                      if ($return_status == 1) {
                         push (@port_error,$ip);                          # Error
                           print "Error closing port for chain: $fw_chain.\n";
                     } elsif ($return_status == 2) {                      } elsif ($return_status == 2) {
                         push(@command_error,$ip);                          # Bad command
                     } elsif ($return_status == 0) {                          print "Bad command error closing port.  Command was\n".
                         push(@lond_port_close,$ip);                                "  ".$firewall_command."\n";
                       } else {
                           print "Port closed for chain $fw_chain.\n";
                     }                      }
                 }                  }
             }              }
             if (@lond_port_close) {  
                 print "Port $port closed for ".scalar(@lond_port_close)." IP addresses\n";  
             }  
             if (@port_error) {  
                 print "Error closing port $port for following IP addresses: ".join(', ',@port_error)."\n";  
             }  
             if (@command_error) {  
                 print "Bad command error opening port for following IP addresses: ".  
                       join(', ',@command_error)."\n".  
                       'Command was: "'."$iptables -D $fw_chain -p tcp -s ".'$ip'." -d 0/0 --dport $port -j ACCEPT".'", where $ip is IP address'."\n";  
             }  
         } else {  
             my $firewall_command =  
                 "$iptables -D $fw_chain -p tcp -d 0/0 --dport $port -j ACCEPT";  
             system($firewall_command);  
             my $return_status = $?>>8;  
             if ($return_status == 1) {  
                 # Error  
                 print "Error closing port.\n";  
             } elsif ($return_status == 2) {  
                 # Bad command  
                 print "Bad command error closing port.  Command was\n".  
                       "  ".$firewall_command."\n";  
             } else {  
                 print "Port closed.\n";  
             }  
         }          }
     }      }
     return;      return;
Line 258  sub firewall_close_port { Line 344  sub firewall_close_port {
   
 sub firewall_close_anywhere {  sub firewall_close_anywhere {
     my ($iptables,$fw_chain,$port) = @_;      my ($iptables,$fw_chain,$port) = @_;
     open(PIPE, "$iptables --line-numbers -n -L $fw_chain |");      if (open(PIPE, "$iptables --line-numbers -n -L $fw_chain |")) {
     while (<PIPE>) {          while (<PIPE>) {
         next unless (/dpt:\Q$port\E/);              next unless (/dpt:\Q$port\E/);
         chomp();              chomp();
         if (/^(\d+)\s+ACCEPT\s+tcp\s+\-{2}\s+0\.0\.0\.0\/0\s+0\.0\.0\.0\/0/) {              if (/^(\d+)\s+ACCEPT\s+tcp\s+\-{2}\s+0\.0\.0\.0\/0\s+0\.0\.0\.0\/0/) {
             my $firewall_command = "$iptables -D $fw_chain $1";                  my $firewall_command = "$iptables -D $fw_chain $1";
             system($firewall_command);                  system($firewall_command);
             my $return_status = $?>>8;                  my $return_status = $?>>8;
             if ($return_status == 1) {                  if ($return_status == 1) {
                 print 'Error closing port '.$port.' for source "anywhere"'."\n";                      print 'Error closing port '.$port.' for source "anywhere".'."\n";
             } elsif ($return_status == 2) {                  } elsif ($return_status == 2) {
                 print 'Bad command error closing port '.$port.' for source "anywhere".  Command was'."\n".                      print 'Bad command error closing port '.$port.' for source "anywhere".  Command was'."\n".
                       ' '.$firewall_command."\n";                            ' '.$firewall_command."\n";
             } else {                  } else {
                 print 'Port '.$port.' closed for source "anywhere"'."\n";                      print 'Port '.$port.' closed for source "anywhere"'."\n";
                   }
             }              }
         }          }
           close(PIPE);
     }      }
     close(PIPE);  
 }  }
   
 sub get_lond_port {  sub get_lond_port {
Line 293  sub get_lond_port { Line 380  sub get_lond_port {
     return $lond_port;      return $lond_port;
 }  }
   
 sub get_fw_chain {  sub get_fw_chains {
     my $fw_chain = 'RH-Firewall-1-INPUT';      my ($iptables) = @_;
       my $distro = &LONCAPA::distro();
       my @fw_chains;
     my $suse_config = "/etc/sysconfig/SuSEfirewall2";      my $suse_config = "/etc/sysconfig/SuSEfirewall2";
       my $ubuntu_config = "/etc/ufw/ufw.conf";
     if (-e $suse_config) {      if (-e $suse_config) {
         $fw_chain = 'input_ext';          push(@fw_chains,'input_ext');
     } else {      } else {
         if (!-e '/etc/sysconfig/iptables') {          my @posschains;
             print("Unable to find iptables file containing static definitions\n");          if (-e $ubuntu_config) {
               @posschains = ('ufw-user-input','INPUT');
           } else {
               if ($distro =~ /^(debian|ubuntu|suse|sles)/) {
                   @posschains = ('INPUT'); 
               } else {
                   @posschains = ('RH-Firewall-1-INPUT','INPUT');
               }
               if (!-e '/etc/sysconfig/iptables') {
                   if (!-e '/var/lib/iptables') {
                       unless ($distro =~ /^(debian|ubuntu)/) {
                           print("Unable to find iptables file containing static definitions.\n");
                       }
                   }
                   if ($distro =~ /^(fedora|rhes|centos|scientific)/) {
                       push(@fw_chains,'RH-Firewall-1-INPUT');
                   }
               }
           }
           if ($iptables eq '') {
               $iptables = &get_pathto_iptables();
           }
           my %counts;
           if (open(PIPE,"$iptables -L -n |")) {
               while(<PIPE>) {
                   foreach my $chain (@posschains) {
                       if (/(\Q$chain\E)/) {
                           $counts{$1} ++;
                       }
                   }
               }
               close(PIPE);
           }
           foreach my $fw_chain (@posschains) {
               if ($counts{$fw_chain}) {
                   unless(grep(/^\Q$fw_chain\E$/,@fw_chains)) {
                       push(@fw_chains,$fw_chain);
                   }
               }
         }          }
     }      }
     return $fw_chain;      return @fw_chains;
 }  }
   
 sub get_pathto_iptables {  sub get_pathto_iptables {
Line 313  sub get_pathto_iptables { Line 441  sub get_pathto_iptables {
     } elsif (-e '/usr/sbin/iptables') {      } elsif (-e '/usr/sbin/iptables') {
         $iptables = '/usr/sbin/iptables';          $iptables = '/usr/sbin/iptables';
     } else {      } else {
         print("Unable to find iptables command\n");          print("Unable to find iptables command.\n");
     }      }
     return $iptables;      return $iptables;
 }  }
Line 351  The following methods are available: Line 479  The following methods are available:
   
 =over 4  =over 4
   
 =item LONCAPA::Firewall::firewall_open_port( $iptables,$fw_chain,$lond_port,$iphost,$port );  =item LONCAPA::Firewall::firewall_open_port( $iptables,$fw_chains,$lond_port,$iphost,$port );
   
 =back  =back
   
 =over 4  =over 4
   
 =item LONCAPA::Firewall::firewall_close_port( $iptables,$fw_chain,$lond_port,$ports );  =item LONCAPA::Firewall::firewall_close_port( $iptables,$fw_chains,$lond_port,$iphost,$ports );
   
 =back  =back
   
 =over 4  =over 4
   
 =item LONCAPA::Firewall::firewall_is_port_open( $iptables,$fw_chain,$port,$lond_port,$iphost );  =item LONCAPA::Firewall::firewall_is_port_open( $iptables,$fw_chain,$port,$lond_port,$iphost,$curropen );
   
 =back  =back
   
Line 387  The following methods are available: Line 515  The following methods are available:
   
 =over 4  =over 4
   
 =item LONCAPA::Firewall::get_fw_chain();  =item LONCAPA::Firewall::get_fw_chains();
   
 =back  =back
   
Removed from v.1.2  
changed lines
  Added in v.1.14

FreeBSD-CVSweb <freebsd-cvsweb@FreeBSD.org>