最近我遇到一个需求，我的一台服务器总是遭到端口扫描和恶意登录攻击，对此可以怎么办呢？似乎除了内网隔离、增强密码认证、证书登录、设置防火墙iptables，网上找不到什么别的方案，对了，还用堡垒机的方案。

这些方案实际上都无法解决我的问题。这是一台公网服务器，并没有什么复杂的网络结构，所以不能建立内网隔离。调整账号的密码策略，自然是一个方案，但是人工操作太麻烦，而且我一般经常换电脑使用，如果修改密码，公司的和家里的电脑都要更新，很麻烦。设置防火墙自然是运维的基本操作，但是firewall-cmd就麻烦些，而且有一个巨大的痛点，众所周知，大家的出网IP都会经常变，好不容易在命令行里一个字母一个字母的配置好了，睡了一觉，白费了。堡垒机更不是一个主流的方案，有点大材小用，用了堡垒机，反而不能随意使用系统，更何况还没听说过那个免费的堡垒机呢。

那怎么办呢，作为一个资深的PHP开发者，服务器这块的应用还不是手到擒来，当初连内网穿透都能轻松实现，一个IP过滤系统，小意思。所以我打算自己开发这样一个项目，首先能够实现IP过滤，另外，可以轻松地将IP加入到白名单里，比如访问一个网页，就自动加入到白名单。

整个项目不到几个小时就研发完了，起码满足了我自己的需求，并且实现了这样几个特性：

• 多进程
• 支持并发
• 守护进程
• 可以通过网页面板管理IP
• 流量统计
• 拦截记录

现在我们来一步一步地实现这个系统。

第一步，首先能够简简单单的过滤IP

使用PHP监听端口并且转发数据的框架很多，对此我选择workerman，原因有3：

• 运行简单稳定
• 方法接口简单
• 内置进程守护

至于具体的安装方法，可以参考他的官方文档。

workerman的使用方法非常简单，只要10行代码，就实现了IP转发 白名单过滤：

$worker = new Worker('tcp:0.0.0.0:' . Config::get('door.port_in'));// 监听一个端口$worker->count = 2;// 设置多进程$worker->onConnect = function (TcpConnection $connection) { // 获取IP白名单 $list_ip = AppIp::where('status', 0)->cache(3)->column('ip'); $remote_ip = $connection->getRemoteIp(); // 拦截IP if (!in_array($remote_ip, $list_ip)) { $connection->close(); } // 放行连接，连接内部目标端口 $to_connection = new AsyncTcpConnection('tcp:127.0.0.1:' . Config::get('door.port_to')); // 互相转发流量 $connection->pipe($to_connection); $to_connection->pipe($connection); $to_connection->connect();}

正如上面代码所示，只有简单几行，便实现了IP监听和转发，其中IP白名单通过数据库查询，并且缓存。

第二步，与thinkphp命令行整合在一起

为了项目开发方便，我都会使用ThinkPHP框架进行开发，它够简单，功能也比较齐全。

最终实现的命令行效果如下：

运行命令php think door start php think door start --mode d // 守护进程重启重启php think door restart停止php think door stop

workerman的命令参数与thinkphp并不兼容，但是实现这样的效果并不难，实际上很简单，代码如下:

<?phpdeclare(strict_types=1);namespace appcommoncommand;use thinkconsoleCommand;use thinkconsoleInput;use thinkconsoleinputArgument;use thinkconsoleinputOption;use thinkconsoleOutput;class Door extends Command{ protected function configure() { // 指令配置 $this->setName('door') // 设置think的命令参数 ->addArgument('action', Argument::OPTIONAL, "start|stop|restart|reload|status|connections", 'start') ->addOption('mode', 'm', Option::VALUE_OPTIONAL, 'Run the workerman server in daemon mode.') ->setDescription('the door command'); } protected function execute(Input $input, Output $output) { // 指令输出 $output->writeln('door'); $action = $input->getArgument('action'); $mode = $input->getOption('mode'); // 重新构造命令行参数,以便兼容workerman的命令 global $argv; $argv = []; array_unshift($argv, 'think', $action); if ($mode == 'd') { $argv[] = '-d'; } else if ($mode == 'g') { $argv[] = '-g'; } // ...workerman的代码 }}

在上面的代码中，主要做了两件事：

• 实现ThinkPHP的命令设置
• 将命令参数重新构造为workerman兼容的方式

第三步，实现管理面板

使用PHP实现一个管理面板太简单了，PHP到处都是这样的后台框架，这里我选择ulthon_admin，这是我自己开发维护的，它基于ThinkPHP6，很简单，为定制而生，不搞所谓的“插件”和“市场”生态，能够自动生成CURD代码，并且内置几了几个有趣的皮肤。

最终效果如下：

以上是ulthon_admin内置的两款皮肤效果，分别是：科幻、像素。

对于面板的管理，这里多做介绍，这算是PHP开发者的基本功，谁还不会个CURD啊。

第四步，进阶，更好的性能和流量统计

我们的IP拦截客户端需要运行在服务器上，并且直接连接数据库，如果每次收到请求都要查询数据库，那么很有可能导致连接不通畅，尤其是客户端和数据库本身位置较远的时候。在第一步的代码中，我们只是简单地使用了查询缓存，但是还不够，还可以优化。并且我们可以在管理面板的截图中看到，我们是可以统计流量和拦截次数的，现在我们要实现这些功能：

流量统计

首先我们将第一个步骤，流量转发部分的代码改造成如下的样子：

<?php// 向TO发起连接$to_connection = new AsyncTcpConnection('tcp://127.0.0.1:' . Config::get('door.port_to'));$to_connection->onMessage = function ($source, $data) use ($connection, $remote_ip) { // 接收到来自TO的数据，返回的数据 $connection->send($data); // 将流量统计存储到内存里 Cache::inc(md5($remote_ip) . '-to', strlen($data));};// 流程和流量控制$to_connection->onClose = function ($source) use ($connection) { $connection->close();};$connection->onBufferFull = function ($dest) use ($to_connection) { $to_connection->pauseRecv();};$connection->onBufferDrain = function ($dest) use ($to_connection) { $to_connection->resumeRecv();};$connection->onMessage = function ($source, $data) use ($to_connection, $remote_ip) { // 接收来自IN的数据,请求的数据 $to_connection->send($data); // 将流量统计存储到内存里 Cache::inc(md5($remote_ip) . '-in', strlen($data));};// 流程和流量控制$connection->onClose = function ($source) use ($to_connection) { $to_connection->close();};$to_connection->onBufferFull = function ($dest) use ($connection) { $connection->pauseRecv();};$to_connection->onBufferDrain = function ($dest) use ($connection) { $connection->resumeRecv();};

在第一部的代码中，只用两行便实现了这些代码：

// 放行连接，连接内部目标端口$to_connection = new AsyncTcpConnection('tcp:127.0.0.1:' . Config::get('door.port_to'));// 互相转发流量$connection->pipe($to_connection);$to_connection->pipe($connection);

这里使用的是workerman内置的流量转发，它很好用，但是这里我们要统计流量，所以我们手动转发流量。

这里我们将统计的数据存储到缓存里，而不是直接连接数据库更新，这是为了更好的连接性能。我们会另外开启一个进程将这些改动更新到数据库。后面会介绍到。

拦截统计

我们将第一步中的加载IP白名单的逻辑改成下面这样：

<?php$worker->onConnect = function (TcpConnection $connection) { $disable_静态方法，这里的功能很简单，判断数据库中该IP是否存在，如果不存在则新增，如果存在，则更新拦截次数 ·1。这里就不多介绍了。这里也没有必要做什么性能优化，反正本来就是拦截的IP，优化个毛。