怎样实现IP白名单放行脚本

wen 实用脚本 2026-06-26 221

如何编写IP白名单放行脚本：从入门到企业级实践指南

目录导读

IP白名单的核心概念与适用场景
主流脚本语言实现方案对比
实战：基于Shell的防火墙白名单脚本
企业级方案：动态IP白名单与API集成
常见问题排查与性能优化
安全强化建议与未来趋势
问答环节：如何防止白名单绕过？如何处理移动办公用户的动态IP？

IP白名单的核心概念与适用场景

Q：什么是IP白名单脚本？
A：IP白名单放行脚本是指通过编程方式，自动将特定IP地址或IP段加入允许访问列表，而拒绝其他所有连接的自动化工具,其核心价值在于解决以下场景：

怎样实现IP白名单放行脚本

运维人员通过固定IP管理云服务器（如阿里云、AWS安全组）
企业内网API只允许合作方IP调用
防止爬虫或DDoS攻击的预处理层

与传统手动配置的区别：
手动配置在IP变更时需要人工修改防火墙规则,而脚本可实现：

定时同步第三方IP列表（如CDN节点IP）
动态添加临时白名单（如员工出差时的VPN IP）
自动清理过期白名单条目

主流脚本语言实现方案对比

语言	适用场景	优点	缺点
Shell	Linux服务器防火墙（iptables/ufw）	原生支持，无依赖	跨平台差，复杂逻辑难维护
Python	云API集成（AWS/阿里云SDK）	生态丰富，可处理JSON	需安装解释器，性能略低
Go	高并发网关（Nginx/Enovy）	编译后无依赖，高性能	开发成本高
Ansible	多服务器批量管理	声明式语法，易扩展	需管理节点

选择建议：
对于单机Linux服务器，优先使用Shell；若需对接云厂商API或处理复杂逻辑，选Python；企业级分布式场景考虑Go + Redis方案。

实战：基于Shell的防火墙白名单脚本

以下脚本实现从URL拉取IP列表,动态更新iptables规则：

#!/bin/bash
# ip_whitelist_updater.sh
# 用途：从可信源获取IP白名单，放行后拒绝其他所有入站流量
# 配置区域
WHITELIST_URL="https://trusted-server.com/whitelist.txt"  # 替换为实际URL
CHAIN_NAME="MY_WHITELIST"
LOG_FILE="/var/log/whitelist_update.log"
# 函数：清理旧规则
cleanup_chain() {
    iptables -F $CHAIN_NAME 2>/dev/null || true
    iptables -X $CHAIN_NAME 2>/dev/null || true
    iptables -N $CHAIN_NAME
}
# 函数：检查网络连接
check_network() {
    curl -s --connect-timeout 5 "$WHITELIST_URL" > /dev/null || {
        echo "[ERROR] 无法连接到白名单源，使用缓存规则" | tee -a "$LOG_FILE"
        return 1
    }
}
# 主逻辑
main() {
    echo "[$(date)] 开始更新白名单..." | tee -a "$LOG_FILE"
    # 检查网络
    check_network || exit 1
    # 获取白名单列表（每行一个IP）
    IP_LIST=$(curl -s "$WHITELIST_URL" | grep -E '^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}')
    if [ -z "$IP_LIST" ]; then
        echo "[ERROR] 未获取到有效IP" | tee -a "$LOG_FILE"
        exit 1
    fi
    # 创建新链
    cleanup_chain
    # 添加白名单IP
    for ip in $IP_LIST; do
        iptables -A $CHAIN_NAME -s "$ip" -j ACCEPT
        echo "[ADD] 添加IP: $ip" | tee -a "$LOG_FILE"
    done
    # 拒绝其他所有流量（避免锁死SSH，先放行当前SSH会话IP）
    SSH_IP=$(echo $SSH_CLIENT | awk '{print $1}')
    if [ -n "$SSH_IP" ]; then
        iptables -A $CHAIN_NAME -s "$SSH_IP" -j ACCEPT
        echo "[SSH] 放行当前连接IP: $SSH_IP" | tee -a "$LOG_FILE"
    fi
    iptables -A $CHAIN_NAME -j DROP
    # 将自定义链关联到INPUT链
    iptables -I INPUT -j $CHAIN_NAME
    echo "[OK] 白名单更新完成，共添加 $(echo "$IP_LIST" | wc -l) 个IP" | tee -a "$LOG_FILE"
}
# 执行
main

部署步骤：

将脚本保存为 /usr/local/bin/update_whitelist.sh
赋予执行权限：chmod +x /usr/local/bin/update_whitelist.sh
添加定时任务：crontab -e 添加 */5 * * * * /usr/local/bin/update_whitelist.sh

风险控制：

脚本自动保留当前SSH连接的IP（通过环境变量$SSH_CLIENT获取）
如果拉取失败，不清理旧规则，保持原有白名单生效

企业级方案：动态IP白名单与API集成

当白名单需要从多个来源（如OA系统、第三方安全服务）动态同步时,推荐使用Python实现：

# whitelist_manager.py
import requests
import json
import redis
from config import WHITELIST_SOURCES, FIREWALL_API
class IPWhitelistManager:
    def __init__(self, redis_host='localhost'):
        self.redis = redis.Redis(host=redis_host, db=0)
    def sync_from_sources(self):
        """从多个数据源合并白名单"""
        all_ips = set()
        for source in WHITELIST_SOURCES:
            if source['type'] == 'static':
                all_ips.update(source['ip_list'])
            elif source['type'] == 'api':
                resp = requests.get(source['url'], timeout=3)
                if resp.status_code == 200:
                    all_ips.update(resp.json()['data'])
        return all_ips
    def apply_to_firewall(self, ip_set):
        """通过REST API更新防火墙（示例为阿里云安全组）"""
        # 调用云厂商SDK更新规则
        client = FirewallClient(FIREWALL_API['key'])
        current_rules = client.describe_security_group()
        new_rules = [f"{ip}/32" for ip in ip_set]
        client.revoke_all_rules()  # 清理旧规则
        for cidr in new_rules:
            client.authorize_security_group(
                ip_protocol='all',
                port_range='-1/-1',
                source_cidr=cidr,
                policy='accept'
            )

核心优势：