SYNwall：给 IoT 设备加一个零配置防火墙

文章目录SYNwall给 IoT 设备加一个零配置防火墙1、 这玩意儿是干嘛的2、 为什么要用它3、 核心参数有哪些4、 怎么用5、 SYNgate 是干嘛的6、 适合哪些人用SYNwall给 IoT 设备加一个零配置防火墙SYNwall 在 GitHub 上已经拿到 263 Star 了。这是一个 Linux 内核模块目标是给 IoT 设备提供零配置、免维护的防火墙。它不依赖集中控制也不需要在每台设备上维护复杂的访问规则。1、 这玩意儿是干嘛的SYNwall 把自己注入到网络协议层用一次性密码来控制设备是否允许外部连接。所有不含合法 OTP 的流量都会被直接丢弃。只有持有相同预共享密钥的通信方才能基于当前时间和共享密钥生成正确的密码并访问设备。因为它工作在 TCP 和 UDP 层所以对应用层完全透明不需要修改现有程序。时间同步通过 precision 参数做容差处理避免两端时钟轻微偏差导致连接失败。2、 为什么要用它IoT 设备通常硬件性能弱、部署环境复杂运维人员也很难逐个维护安全策略。传统防火墙需要配置 IP 白名单、端口规则更新一次就要同步到所有设备工作量很大。SYNwall 的思路是反向的不需要预先知道谁能访问只要所有通信方共享同一个 PSK就能动态生成 OTP。设备端只验证 OTP 是否有效规则维护成本几乎为零。3、 核心参数有哪些模块通过 insmod 或 modprobe 加载主要参数包括psk预共享密钥长度 32 到 1024 字节必填。enable_udp是否开启 UDP 的 OTP 保护默认关闭。precision时间精度默认 10对应约 8 秒。disable_out关闭出站 OTP只做单向过滤。enable_antidos限制每秒 OTP 计算次数防止 DoS。enable_antispoof把 IP 加入 OTP 计算防止重放。load_delay加载后延迟生效时间默认 10 秒。portk5 个端口组成的敲击序列作为应急后门。4、 怎么用仓库里就是 Linux 内核模块源码支持 x86_64、ARM、MIPS 和 AARCH64 架构内核 3.x、4.x、5.x 都能跑。它选用 Quark 哈希算法也是为了在低功耗设备上保持极低开销。编译前先安装当前内核头文件sudoapt-getinstalllinux-headers-$(uname-r)然后直接 make 即可make加载示例sudoinsmod SYNwall.kopsk123456789012345678901234567890123precision10portk12,13,14,15,16load_delay5000enable_udp1如果设备时钟完全失控还可以通过预设的 portk 端口敲击序列临时关闭保护作为最后的回退手段。5、 SYNgate 是干嘛的同仓库还带了一个 SYNgate 模块。它和 SYNwall 逻辑一致但面向多网络和多 PSK 场景适合装在 SOCKS 服务器上。多网络场景下用 dstnet_list、psk_list 等参数为不同网段分别配置策略。编译时加上 SYNGATE1 即可makeSYNGATE1SYNgate 只处理出站流量并支持按目标网络匹配不同的密钥和策略。6、 适合哪些人用管理大量边缘 IoT 设备又不想维护复杂防火墙规则的运维。需要在嵌入式 Linux 上实现轻量访问控制的开发者。对网络层透明加密和端口敲门机制感兴趣的工程师。又不想维护复杂防火墙规则的运维。需要在嵌入式 Linux 上实现轻量访问控制的开发者。对网络层透明加密和端口敲门机制感兴趣的工程师。