アプリケーションソースポートを強制する方法は？

オプション1：コンテナ

明示的なIPアドレスを使用してコンテナ内でアプリケーションを実行し、アウトバウンド接続を許可するようにローカルファイアウォールルールを変更します。その特定のIPアドレスから。これにより、ポートを知る必要がなくなります。そのIPアドレスに関連する規則は、そのアプリケーションの接続にのみ影響し、他のものには影響しません。これは次のようになります。

docker network create app_network --subnet 192.168.51.0/24
docker run --network my_app_network --ip 192.168.51.10 myapimage ...

その後、ローカルファイアウォールに次の項目を追加できます。

iptables -A FORWARD -s 192.168.51.10/32 -j ACCEPT

オプション2：関数の挿入

アプリケーションが動的にリンクされた実行可能ファイルであると仮定すると、以下を使用できます。関数の挿入特定のライブラリ呼び出しをオーバーライドします。この場合、接続が確立される前に呼び出されるようにconnect呼び出しをオーバーライドできます。bindこれは次のようになります。

#include <sys/socket.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <stdio.h>
#include <stdint.h>
#include <dlfcn.h>

#ifndef TARGET_PORT
#define TARGET_PORT 80
#endif

#ifndef SOURCE_PORT
#define SOURCE_PORT 12000
#endif

int connect(int sockfd, const struct sockaddr *addr, socklen_t addrlen) {
    static int (*real_connect)(int, const struct sockaddr *, socklen_t) = NULL;

    if (!real_connect)
        real_connect = dlsym(RTLD_NEXT, "connect");


    /*
     * Only makes changes if you are initiating an AF_INET connection to
     * a specific remote port. Modify the logic here, or modify
     * TARGET_PORT and SOURCE_PORT, above, to change this behavior.
     */
    if (
            addr->sa_family == AF_INET &&
            ((struct sockaddr_in *)addr)->sin_port == htons(TARGET_PORT)
       ) {
        const int enable = 1;

        // Set SO_REUSEADDR, otherwise subsequent connections will fail until
        // the socket exits the TIME_WAIT state.
        if (setsockopt(sockfd, SOL_SOCKET, SO_REUSEADDR, &enable, sizeof(int)) < 0)
            return -1;

        struct sockaddr_in sin;
        sin.sin_family = AF_INET;
        sin.sin_addr.s_addr = htonl(INADDR_ANY);
        sin.sin_port = htons(SOURCE_PORT);

        if (bind(sockfd, (struct sockaddr *)&sin, sizeof(sin)) == -1) {
            return -1;
        }
    }

    return real_connect(sockfd, addr, addrlen);
}

コードを共有ライブラリにコンパイルします。

gcc -shared -ldl -fPIC connect_with_port.c -o connect_with_port.so

次に、以下を使用して有効にしますLD_PRELOAD。

LD_PRELOAD=./connect_with_port.so nc google.com 80

上記のコマンドを実行すると、tcpdump接続がポートから始まることがわかります12000。