evgeny
38c9f229bc
- u_async.c: process immediate_queue BEFORE epoll_wait in uasync_poll - stcp_link.c: defensive NULL etcp_conn/etcp_link in stcp_link_close - utun_instance.c: move stcp_server_list_destroy_all to Phase J (before ETCP), add deferred drain in both Phase J and L - stcp.h/c: STCP_HS_ENC_CLIENT 6→38, STCP_HS_ENC_SERVER 7→39, exchange ed25519_pubkey in both handshake directions - etcp_connections.c: copy peer_ed25519 from STCP to ETCP_CONN in etcp_link_enter_ready_tcp; guard link->etcp in tcp_link_close_cb - chat_sync.c: fix lk->conn NULL dereference for TCP links - test_stcp.c: update stcp_server_create/stcp_client_connect callsites - tools/chat_tcp_test: change transport udp→tcp
29 lines
1.9 KiB
Markdown
29 lines
1.9 KiB
Markdown
# Firewall rule engine
|
|
|
|
## 1. Назначение
|
|
Фильтр пакетов по IP/порту для входящего/исходящего трафика. Правила загружаются из конфига, сортируются по IP и порту, затем проверка идёт бинарным поиском. Используется для разрешения/запрета прохождения пакетов через туннель.
|
|
|
|
## 2. Как пользоваться
|
|
```c
|
|
struct firewall_ctx fw;
|
|
fw_init(&fw);
|
|
fw_load_rules(&fw, &global_cfg);
|
|
if (fw_check(&fw, ip_host, port)) { /* пакет разрешён */ }
|
|
fw_free(&fw);
|
|
```
|
|
Правила задаются в конфиге в секции `[firewall]`:
|
|
- `rule = ip port` — разрешить IP:port (port=0 — любой порт)
|
|
- `bypass_all = 1` — пропускать всё независимо от правил
|
|
|
|
Сортировка — по IP, затем по порту. При проверке: бинарный поиск по IP, затем линейный скан соседних записей с тем же IP для сверки порта. Правило с `port=0` означает любой порт для этого IP.
|
|
|
|
## 3. API
|
|
|
|
| Функция/Структура | Описание |
|
|
|---|---|
|
|
| `struct firewall_ctx` | Набор правил (`rules`), их количество (`count`), флаг `bypass_all` |
|
|
| `fw_init(ctx)` | Обнуление контекста |
|
|
| `fw_load_rules(ctx, cfg)` | Копирование правил из конфига, сортировка qsort, установка bypass_all |
|
|
| `fw_check(ctx, ip, port)` | Возвращает 1 если пакет разрешён (bypass_all=1 или IP+port есть в правилах), 0 — запрещён |
|
|
| `fw_free(ctx)` | Освобождение памяти, обнуление полей |
|