- 工信部備案號 滇ICP備05000110號-1
- 滇公安備案 滇53010302000111
- 增值電信業(yè)務(wù)經(jīng)營許可證 B1.B2-20181647、滇B1.B2-20190004
- 云南互聯(lián)網(wǎng)協(xié)會理事單位
- 安全聯(lián)盟認證網(wǎng)站身份V標記
- 域名注冊服務(wù)機構(gòu)許可：滇D3-20230001
- 代理域名注冊服務(wù)機構(gòu)：新網(wǎng)數(shù)碼
相關(guān)文章
國信辦再關(guān)閉31家違規(guī)網(wǎng)站 云南省2019年國家網(wǎng)絡(luò)安全周在麗江啟動，藍隊云獲頒“最佳技術(shù)支持獎” 英特爾計劃在中國打造物聯(lián)網(wǎng)國際品牌 中國互聯(lián)網(wǎng)企業(yè)赴美上市規(guī)模預(yù)計今年或減半 云南公布第二批免費向社會提供信息技術(shù)服務(wù)企業(yè)名單
kangle的訪問控制
2017-03-30 16:29:25
5723
相信很多人都熟悉iptables，kangle的訪問控制理念來自linux的iptables防火墻，kangle擁有功能最小化的匹配模塊和標記模塊，通過組合，反轉(zhuǎn)等可以實現(xiàn)用戶最復(fù)雜的需求；
最小化的匹配模塊和標記模塊猶如最小塊的積木，獨具匠心的玩家，總是能用小積木搭建出千變?nèi)f化的造形。
Kangle的訪問控制分為請求控制和回應(yīng)控制。
請求控制在最前面，用戶發(fā)送請求過來時即進行請求控制。
回應(yīng)控制發(fā)生在數(shù)據(jù)發(fā)送給用戶之前，即進行回應(yīng)控制。
Kangle詳細數(shù)據(jù)流向圖請查看：http://www.tjdsmy.cn/thread-7224-1-1.html。
每個控制由一張或多張表加一個默認目標組成，其中BEGIN表是系統(tǒng)內(nèi)建表，所有控制從BEGIN開始。
每張表可以定義若干條“鏈”，在一張表中控制按順序從上到下對規(guī)則鏈進行匹配。
規(guī)則鏈由?個目標和任意個匹配模塊和任意個標記模塊組成。
在表中，用戶可以按需要隨意添加、刪除、編輯或反轉(zhuǎn)規(guī)則鏈。
在"請求控制”內(nèi)有一個系統(tǒng)表："BEGIN表"。
在"回應(yīng)控制”內(nèi)有兩個系統(tǒng)表"BEGIN表"和"POSTMAP表"。
“POSTMAP表”完成url到物理文件的映射。用戶使用"POSTMAP表"，需要自行創(chuàng)建。
例如：對文件進行管理、禁止文件被下載（日志文件不允許被下載）等可用"POSTMAP表"。
kangle如果發(fā)現(xiàn)用戶的請求匹配了一個規(guī)則鏈中的匹配模塊，則進入標記模塊對請求做簡單的處理，之后就按該條規(guī)則鏈指定的目標處理。如果目標是繼續(xù)，則還要進行下一條規(guī)則鏈處理，否則就返回控制，按控制“目標”進行處理。
如果目標是“繼續(xù)”，則還要進行下一條規(guī)則鏈的處理。
如果目標是“默認”，則控制按默認目標處理（默認目標有：拒絕、回寫數(shù)據(jù)、服務(wù)器、虛擬主機等）。
如果目標是“拒絕”，則將對用戶的請求拒絕并發(fā)送錯誤信息給用戶，之后中斷連接。
如果目標是“虛擬主機”，則將對用戶請求使用虛擬主機處理。
如果目標是“服務(wù)器”，則用戶使用的是反代。
如果目標是“回寫數(shù)據(jù)”，則將對用戶的請求拒絕，并發(fā)送管理員設(shè)定的原始數(shù)據(jù)給用戶。
Kangle訪問控制設(shè)計的優(yōu)點
1、Kangle的訪問控制提供了非常開放的用戶自定義規(guī)則的功能。用戶完全可以按需求定制規(guī)則；
2、Web網(wǎng)?管理，用戶無需登錄服務(wù)器就可以進行操作；
3、功能模塊的靈活組合，滿足用戶的各種需求，甚至可以作防攻擊系統(tǒng)。例如防CC攻擊、防sql注入攻擊、防XSS跨站攻擊等。
Kangle訪問控制模塊列表及說明
請求控制的匹配模塊 | ||
模 塊 名 稱 | 作 用 域 | 模 塊 說 明 |
url | 請求控制和回應(yīng)控制 | 匹配用戶url網(wǎng)址。網(wǎng)址可以使用正則表達式。 |
reg_path | 請求控制和回應(yīng)控制 | 匹配路徑?？梢允褂谜齽t表達式匹配路徑。 |
reg_param | 請求控?和回應(yīng)控制 | 可用正則表達式進行url參數(shù)匹配 |
path | 請求控制和回應(yīng)控制 | 匹配路徑 |
dst_port | 請求控制和回應(yīng)控制 | 匹配目標端口 |
meth | 請求控制和回應(yīng)控制 | 匹配http請求方法（如get 、 post ） |
file_ext | 請求控制和回應(yīng)控制 | 匹配一個或多個文件擴展名 |
host | 請求控制和回應(yīng)控制 | 匹配一個或多個主機頭 |
wide_host | 請求控制和回應(yīng)控制 | 泛域名匹配 |
map_host | 請求控制和回應(yīng)控制 | 匹配一個或多個主機頭。 與“host”的區(qū)別：map_host是以文件形式來存放主機頭進行匹配 |
header | 請求控制和回應(yīng)控制 | 匹配http頭 |
self | 請求控制和回應(yīng)控制 | 匹配當前連接的服務(wù)器ip |
sefl_port | 請求控制和回應(yīng)控制 | 匹配當前連接的服務(wù)器端口 |
src | 請求控制 | 匹配源地址（ip或者ip段） |
time | 請求控制 | 匹配當前時間，格式為：“crontab” |
ssl_serial | 請求控制 | 匹配證書序列號 |
auth_user | 請求控制 | 匹配http論證的用戶 |
referer | 請求控制 | url來源 |
請求控制的標記模塊 | ||
模 塊 名 稱 | 作 用 域 | 模 塊 說 明 |
speed_limit | 請求控制 | 限速標記 |
gspeed_limit | 請求控制 | 分組限速 |
flag | 請求控制 | 對用戶請求作不緩存、不過濾內(nèi)容及不防cc攻擊標記 |
rewrite | 請求控制 | url重寫 |
redirect | 請求控制 | url重定向 |
auth | 請求控制 | http認證 |
host_rewrite | 請求控制 | 主機重寫 |
回應(yīng)控制的匹配模塊 | ||
模 塊 名 稱 | 作 用 域 | 模 塊 說 明 |
url | 請求控制和回應(yīng)控制 | 匹配用戶url網(wǎng)址。網(wǎng)址可以使用正則表達式。 |
reg_path | 請求控制和回應(yīng)控制 | 匹配路徑?？梢允褂谜齽t表達式匹配路徑。 |
reg_param | 請求控制和回應(yīng)控制 | 可用正則表達式進行參數(shù)匹配 |
path | 請求控制和回應(yīng)控制 | 匹配路徑 |
dst_port | 請求控制和回應(yīng)控制 | 匹配目標端口 |
meth | 請求控制和回應(yīng)控制 | 匹配http請求方法（如get 、 post ） |
file_ext | 請求控制和回應(yīng)控制 | 匹配一個或多個文件擴展名 |
host | 請求控制和回應(yīng)控制 | 匹配一個或多個主機頭 |
wide_host | 請求控制和回應(yīng)控制 | 泛域名匹配 |
map_host | 請求控制和回應(yīng)控制 | 匹配一個或多個主機頭。 與“host”的區(qū)別：map_host是以文件形式來存放主機頭進行匹配 |
header | 請求控制和回應(yīng)控制 | 匹配http頭 |
self | 請求控制和回應(yīng)控制 | 匹配當前連接的服務(wù)器ip |
sefl_port | 請求控制和回應(yīng)控制 | 匹配當前連接的服務(wù)器端口 |
file | 回應(yīng)控制 | 匹配一個或多個文件 |
filename | 回應(yīng)控制 | 匹配一個或多個文件名 |
dir | 回應(yīng)控制 | 匹配多個目錄下的文件。按目錄匹配 |
reg_file | 回應(yīng)控制 | 匹配一個或多個文件?？捎谜齽t表達式表示。 |
reg_filename | 回應(yīng)控制 | 匹配一個或多個文件名?？捎谜齽t表達式表示。 |
content_length | 回應(yīng)控制 | 配置內(nèi)容大小 |
回應(yīng)控制的標記模塊 | ||
模 塊 名 稱 | 作 用 域 | 模 塊 說 明 |
cache_control | 回應(yīng)控制 | 緩存標記 |
content | 回應(yīng)控制 | 內(nèi)容過濾（可以使用正則表達式進行內(nèi)容過濾） |
response_flag | 回應(yīng)控制 | 對回應(yīng)給用戶的請求作標記 |
add_header | 回應(yīng)控制 | 增加自定義頭 |
