IP門禁：保姆式教你用PHP實現一個IP防火墻

最近我遇到一個需求，我的一臺服務器總是遭到端口掃描和惡意登錄攻擊，對此可以怎么辦呢？似乎除了內網隔離、增強密碼認證、證書登錄、設置防火墻iptables，網上找不到什么別的方案，對了，還用堡壘機的方案。

這些方案實際上都無法解決我的問題。這是一臺公網服務器，并沒有什么復雜的網絡結構，所以不能建立內網隔離。調整賬號的密碼策略，自然是一個方案，但是人工操作太麻煩，而且我一般經常換電腦使用，如果修改密碼，公司的和家里的電腦都要更新，很麻煩。設置防火墻自然是運維的基本操作，但是iptables的配置太麻煩，ufw工具還好些，firewall-cmd就麻煩些，而且有一個巨大的痛點，眾所周知，大家的出網IP都會經常變，好不容易在命令行里一個字母一個字母的配置好了，睡了一覺，白費了。堡壘機更不是一個主流的方案，有點大材小用，用了堡壘機，反而不能隨意使用系統，更何況還沒聽說過那個免費的堡壘機呢?！就扑]：PHP視頻教程】

那怎么辦呢，作為一個資深的PHP開發者，服務器這塊的應用還不是手到擒來，當初連內網穿透都能輕松實現，一個IP過濾系統，小意思。所以我打算自己開發這樣一個項目，首先能夠實現IP過濾，另外，可以輕松地將IP加入到白名單里，比如訪問一個網頁，就自動加入到白名單。

整個項目不到幾個小時就研發完了，起碼滿足了我自己的需求，并且實現了這樣幾個特性：

• 多進程
• 支持并發
• 守護進程
• 可以通過網頁面板管理IP
• 流量統計
• 攔截記錄

現在我們來一步一步的實現這個系統。

第一步，首先能夠簡簡單單的過濾IP

使用PHP監聽端口并且轉發數據的框架很多，對此我選擇workerman，原因有3：

• 運行簡單穩定
• 方法接口簡單
• 內置進程守護

至于具體的安裝方法，可以參考他的官方文檔。

版權聲明：本文由phpreturn.com（PHP武器庫官網）原創和首發，所有權利歸phpreturn（PHP武器庫）所有，本站允許任何形式的轉載/引用文章，但必須同時注明出處。

workerman的使用方法非常簡單，只要10行代碼，就實現了IP轉發+白名單過濾：

$worker = new Worker('tcp:0.0.0.0:' . Config::get('door.port_in')); // 監聽一個端口 $worker->count = 2; // 設置多進程 $worker->onConnect = function (TcpConnection $connection) {     // 獲取IP白名單     $list_ip = AppIp::where('status', 0)->cache(3)->column('ip');     $remote_ip = $connection->getRemoteIp();     // 攔截IP     if (!in_array($remote_ip, $list_ip)) {         $connection->close();     }     // 放行連接，連接內部目標端口     $to_connection = new AsyncTcpConnection('tcp:127.0.0.1:' . Config::get('door.port_to'));     // 互相轉發流量     $connection->pipe($to_connection);     $to_connection->pipe($connection);     $to_connection->connect(); }

正如上面代碼所示，只有簡單幾行，便實現了IP監聽和轉發，其中IP白名單通過數據庫查詢，并且緩存。

第二步，與ThinkPHP命令行整合在一起

為了項目開發方便，我都會使用ThinkPHP框架進行開發，它夠簡單，功能也比較齊全。

最終實現的命令行效果如下：

版權聲明：本文由phpreturn.com（PHP武器庫官網）原創和首發，所有權利歸phpreturn（PHP武器庫）所有，本站允許任何形式的轉載/引用文章，但必須同時注明出處。

運行命令 php think door start php think door start --mode d  // 守護進程重啟 重啟 php think door restart 停止 php think door stop

workerman的命令參數與thinkphp并不兼容，但是實現這樣的效果并不難，實際上很簡單，代碼如下:

<?php  declare(strict_types=1);  namespace appcommoncommand;  use thinkconsoleCommand; use thinkconsoleInput; use thinkconsoleinputArgument; use thinkconsoleinputOption; use thinkconsoleOutput;  class Door extends Command {     protected function configure()     {         // 指令配置         $this->setName('door')             // 設置think的命令參數             ->addArgument('action', Argument::OPTIONAL, "start|stop|restart|reload|status|connections", 'start')             ->addOption('mode', 'm', Option::VALUE_OPTIONAL, 'Run the workerman server in daemon mode.')             ->setDescription('the door command');     }     protected function execute(Input $input, Output $output)     {         // 指令輸出         $output->writeln('door');         $action = $input->getArgument('action');         $mode = $input->getOption('mode');         // 重新構造命令行參數,以便兼容workerman的命令         global $argv;         $argv = [];         array_unshift($argv, 'think', $action);         if ($mode == 'd') {             $argv[] = '-d';         } else if ($mode == 'g') {             $argv[] = '-g';         }         // ...workerman的代碼     } }

在上面的代碼中，主要做了兩件事：

• 實現ThinkPHP的命令設置
• 將命令參數重新構造為workerman兼容的方式

第三步，實現管理面板

使用PHP實現一個管理面板太簡單了，PHP到處都是這樣的后臺框架，這里我選擇ulthon_admin，這是我自己開發維護的，它基于ThinkPHP6，很簡單，為定制而生，不搞所謂的“插件”和“市場”生態，能夠自動生成CURD代碼，并且內置幾了幾個有趣的皮膚。

最終效果如下：

以上是ulthon_admin內置的兩款皮膚效果，分別是：科幻、像素。

對于面板的管理，這里多做介紹，這算是PHP開發者的基本功，誰還不會個CURD啊。

版權聲明：本文由phpreturn.com（PHP武器庫官網）原創和首發，所有權利歸phpreturn（PHP武器庫）所有，本站允許任何形式的轉載/引用文章，但必須同時注明出處。

第四步，進階，更好的性能和流量統計

我們的IP攔截客戶端需要運行在服務器上，并且直接連接數據庫，如果每次收到請求都要查詢數據庫，那么很有可能導致連接不通暢，尤其是客戶端和數據庫本身位置較遠的時候。在第一步的代碼中，我們只是簡單的使用了查詢緩存，但是還不夠，還可以優化。并且我們可以在管理面板的截圖中看到，我們是可以統計流量和攔截次數的，現在我們要實現這些功能：

流量統計

首先我們將第一個步中，流量轉發部分的代碼改造成如下的樣子：

<?php // 向TO發起連接 $to_connection = new AsyncTcpConnection('tcp://127.0.0.1:' . Config::get('door.port_to')); $to_connection->onMessage = function ($source, $data) use ($connection, $remote_ip) {     // 接收到來自TO的數據，返回的數據     $connection->send($data);     // 將流量統計存儲到內存里     Cache::inc(md5($remote_ip) . '-to', strlen($data)); }; // 流程和流量控制 $to_connection->onClose = function ($source) use ($connection) {     $connection->close(); }; $connection->onBufferFull = function ($dest) use ($to_connection) {     $to_connection->pauseRecv(); }; $connection->onBufferDrain = function ($dest) use ($to_connection) {     $to_connection->resumeRecv(); }; $connection->onMessage = function ($source, $data) use ($to_connection, $remote_ip) {     // 接收來自IN的數據,請求的數據     $to_connection->send($data);     // 將流量統計存儲到內存里     Cache::inc(md5($remote_ip) . '-in', strlen($data)); }; // 流程和流量控制 $connection->onClose = function ($source) use ($to_connection) {     $to_connection->close(); }; $to_connection->onBufferFull = function ($dest) use ($connection) {     $connection->pauseRecv(); }; $to_connection->onBufferDrain = function ($dest) use ($connection) {     $connection->resumeRecv(); };

在第一部的代碼中，只用兩行便實現了這些代碼：

// 放行連接，連接內部目標端口 $to_connection = new AsyncTcpConnection('tcp:127.0.0.1:' . Config::get('door.port_to')); // 互相轉發流量 $connection->pipe($to_connection); $to_connection->pipe($connection);

這里使用的是workerman內置的流量轉發，它很好用，但是這里我們要統計流量，所以我們手動轉發流量。

這里我們將統計的數據存儲到緩存里，而不是直接連接數據庫更新，這是為了更好的連接性能。我們會另外開啟一個進程將這些改動更新到數據庫。后面會介紹到。

攔截統計

我們將第一步中的加載IP白名單的邏輯改成下面這樣：

版權聲明：本文由phpreturn.com（PHP武器庫官網）原創和首發，所有權利歸phpreturn（PHP武器庫）所有，本站允許任何形式的轉載/引用文章，但必須同時注明出處。

<?php $worker->onConnect = function (TcpConnection $connection) {     $disable_cache_key = 'disable_ip_list';     $list_ip = Cache::get($disable_cache_key);     if (empty($list_ip)) {         $connection->close();     }     $remote_ip = $connection->getRemoteIp();     if (!in_array($remote_ip, $list_ip)) {         AppIpReject::initRecord($remote_ip);         $connection->close();     } };

在這里我們不連接數據庫查詢，而是直接從本地緩存讀取白名單，這樣會有更好的性能。我們會在另一個進程中更新這份白名單。

另外我們可以看到，攔截的IP調用了一個靜態方法，這里的功能很簡單，判斷數據庫中該IP是否存在，如果不存在則新增，如果存在，則更新攔截次數+·1。這里就不多介紹了。這里也沒有必要做什么性能優化，反正本來就是攔截的IP，優化個毛。

高性能處理緩存數據

上面我們介紹，我們會另外開啟一個進程，維護IP白名單，并且將流量統計提交到數據庫。這就是這個進程：

<?php $worker_ip = new Worker(); $worker_ip->name = 'report'; $worker_ip->onWorkerStart = function () {     Timer::add(5, function () {         $disable_cache_key = 'disable_ip_list';         $list_ip = AppIp::where('status', 1)->column('ip');         Cache::set($disable_cache_key, $list_ip);         foreach ($list_ip as  $ip) {             $ip_md5 = md5($ip);             $in_length = Cache::pull("$ip_md5-in");             // 請求的數據             $to_length = Cache::pull("$ip_md5-to");             // 返回的數據             if (!empty($in_length) || !empty($to_length)) {                 $model_ip = AppIp::where('ip', $ip)->find();                 $model_ip->in_buffer += $in_length;                 $model_ip->to_buffer += $to_length;                 $model_ip->save();             }         }     }); };

他做的事情很簡單，讀取緩存，更新數據到數據庫，并且更新IP白名單。這里不需要考慮它和數據庫之間的性能問題，這是額外的進程，不影響端口的連接和轉發。

下一步，更好的性能設計

以上，只有幾行代碼，幾個小時（如果不含設計系統的時間，代碼量可能只有一兩個小時）。還能再怎么優化呢？實際上還是可以優化的。

更好的內存驅動

這里使用的是ThinkPHP內置的文件緩存，存儲到磁盤上，以上方法，在大量連接并發時，肯定受制于磁盤的性能。所以自然而然，我們可以使用內存緩存。

版權聲明：本文由phpreturn.com（PHP武器庫官網）原創和首發，所有權利歸phpreturn（PHP武器庫）所有，本站允許任何形式的轉載/引用文章，但必須同時注明出處。

但是使用內存緩存，redis可以嗎？并不好。這里是客戶端，它只是想簡簡單單實現一個攔截轉發，還要再部署redis，不可取。

但實際上，workerman本身內置了數據共享組件，這是一個很好的方案。相當于一個極簡的redis。完美符合我們的需求。但是我并沒有實現這個功能，目前的系統已經符合我的場景。

更好的客戶端

目前攔截IP客戶端和管理面板集成在一起，使用相同的配置，面板基于ThinkPHP，客戶端只是ThinkPHP的一個命令。我之所以這樣做，是希望直接在Workerman中使用ThinkPHP的眾多特性（數據庫、緩存）。

實際上，我們可以將客戶端的代碼，另外開一個項目，使客戶端和面板獨立開。在面板上實現通用得API?？蛻舳送ㄟ^API操作數據。這樣客戶端就不需要連接數據庫。好處多多。

但是這樣也帶來的