Waydroid 网桥、NAT 与安全边界

graph TB
    subgraph Host["Linux 宿主系统"]
        ETH["物理网卡 (eth0/wlan0)"]
        DNSMASQ["dnsmasq<br/>DNS + DHCP<br/>:53 / :67"]
        BRIDGE["waydroid0<br/>Bridge Interface<br/><EXAMPLE_IP>/24"]
        NAT["NAT 表 (iptables/nftables)<br/>POSTROUTING MASQUERADE<br/>FORWARD ACCEPT"]
    end

    subgraph Container["Android 容器 (LXC)"]
        VETH_HOST["veth 对端 (host side)"]
        VETH_CT["eth0 (container side)<br/>DHCP 分配 <CONTAINER_SUBNET_HOST><br/>MAC <EXAMPLE_MAC>"]
        APPS["Android Apps"]
    end

    INTERNET["Internet"] --> ETH
    ETH --> NAT
    NAT --> BRIDGE
    DNSMASQ -->|"IP 分配 <EXAMPLE_IP>-254"| BRIDGE
    BRIDGE --> VETH_HOST
    VETH_HOST -.->|"veth pair"| VETH_CT
    VETH_CT --> APPS

    style Host fill:#1a1a2e,stroke:#16213e,color:#e0e0e0
    style Container fill:#533483,stroke:#3b2665,color:#e0e0e0

waydroid-net.service
  └─ waydroid-net.sh
       ├─ ip link add waydroid0 type bridge
       ├─ ip addr add <EXAMPLE_IP>/24 dev waydroid0
       ├─ ip link set waydroid0 up
       ├─ iptables 规则 / nftables 规则
       └─ dnsmasq --interface=waydroid0 --dhcp-range=<EXAMPLE_IP>,<EXAMPLE_IP>

# 允许 waydroid0 桥上的流量转发
iptables -I FORWARD -i waydroid0 -j ACCEPT
iptables -I FORWARD -o waydroid0 -j ACCEPT

# SNAT：将容器发出的包的源地址伪装为宿主 IP
iptables -t nat -I POSTROUTING -s <EXAMPLE_IP>/24 -j MASQUERADE

# nftables 等价规则（nft 语法）
nft add table inet waydroid
nft add chain inet waydroid forward { type filter hook forward priority 0\; policy accept\; }
nft add rule inet waydroid forward iifname "waydroid0" accept
nft add rule inet waydroid forward oifname "waydroid0" accept

nft add chain inet waydroid nat { type nat hook postrouting priority 100\; policy accept\; }
nft add rule inet waydroid nat ip saddr <EXAMPLE_IP>/24 masquerade

--interface=waydroid0           # 仅监听 waydroid0
--bind-interfaces               # 不绑定其他接口
--dhcp-range=<EXAMPLE_IP>,<EXAMPLE_IP>,12h  # DHCP 池 + 租约时间
--dhcp-leasefile=/var/lib/misc/dnsmasq.waydroid0.leases
# 当前上游实例提供 DHCP 与 DNS，不默认使用 --port=0

# 网络类型：veth（虚拟以太网对）
lxc.net.0.type = veth

# 连接宿主侧 veth 到 waydroid0 bridge
lxc.net.0.link = waydroid0

# 容器内接口名
lxc.net.0.name = eth0

# 固定 MAC
lxc.net.0.hwaddr = <EXAMPLE_MAC>

# 网络命名空间隔离
lxc.net.0.flags = up

# 使用 nftables 还是 iptables 生成规则
# LXC_USE_NFT=true 属于网络脚本变量，不是此 LXC 配置项

# 将宿主 5555 端口转发到容器 <EXAMPLE_IP>:5555
iptables -t nat -I PREROUTING -i <TRUSTED_INTERFACE> -s <TRUSTED_SOURCE_IP> -p tcp --dport 5555 -j DNAT --to-destination <CONTAINER_IP>:5555
iptables -I FORWARD -i <TRUSTED_INTERFACE> -s <TRUSTED_SOURCE_IP> -p tcp -d <CONTAINER_IP> --dport 5555 -j ACCEPT

# 自定义 DNAT 示例先建立 prerouting base chain，并限制来源
nft add chain inet waydroid prerouting '{ type nat hook prerouting priority dstnat; }'
nft add rule inet waydroid prerouting iifname "<TRUSTED_INTERFACE>" ip saddr <TRUSTED_SOURCE_IP> tcp dport 5555 dnat to <CONTAINER_IP>:5555
nft add rule inet waydroid forward iifname "<TRUSTED_INTERFACE>" ip saddr <TRUSTED_SOURCE_IP> ip daddr <CONTAINER_IP> tcp dport 5555 accept

# LXC_USE_NFT=true 属于网络脚本变量，不是此 LXC 配置项

# 使用适配的网络后端/包，不在 LXC config 加入无效 lxc_use_nft

waydroid session stop
sudo systemctl restart waydroid-container
waydroid session start

# 临时启用
echo 1 > /proc/sys/net/ipv4/ip_forward

# 永久启用（/etc/sysctl.d/99-waydroid.conf）
net.ipv4.ip_forward = 1

# 将 waydroid0 加入 trusted zone
sudo firewall-cmd --zone=trusted --add-interface=waydroid0 --permanent

# 开放 DHCP 和 DNS 端口
sudo firewall-cmd --zone=trusted --add-port=67/udp --permanent
sudo firewall-cmd --zone=trusted --add-port=53/udp --permanent

# 允许 trusted zone 内的流量转发
sudo firewall-cmd --zone=trusted --add-forward --permanent

# 重载规则
sudo firewall-cmd --reload

# 验证
sudo firewall-cmd --zone=trusted --list-all

# 开放 DHCP 和 DNS
sudo ufw allow in on waydroid0 to any port 67 proto udp
sudo ufw allow in on waydroid0 to any port 53 proto udp

# 允许 FORWARD 链（关键！）
# 编辑 /etc/default/ufw，确保：
# 优先增加针对 waydroid0 的 route allow 规则，不全局放开 FORWARD

sudo ufw reload

# 如果仍不生效，手动添加 iptables FORWARD 规则
sudo iptables -I FORWARD -i waydroid0 -j ACCEPT
sudo iptables -I FORWARD -o waydroid0 -j ACCEPT

{
  networking.nftables.enable = true;
  networking.nftables.ruleset = ''
    table inet filter {
      chain forward {
        type filter hook forward priority filter; policy drop;
        iifname "waydroid0" accept
        oifname "waydroid0" accept
        ct state established,related accept
      }
    }
    table inet nat {
      chain postrouting {
        type nat hook postrouting priority srcnat; policy accept;
        ip saddr <EXAMPLE_IP>/24 masquerade
      }
    }
  '';
}

# 创建 waydroid 专用表
nft add table inet waydroid-fw

# FORWARD链：允许 waydroid0 双向流量
nft add chain inet waydroid-fw forward { type filter hook forward priority 0\; policy drop\; }
nft add rule inet waydroid-fw forward iifname "waydroid0" accept
nft add rule inet waydroid-fw forward oifname "waydroid0" accept
nft add rule inet waydroid-fw forward ct state established,related accept

# NAT：出站伪装
nft add chain inet waydroid-fw nat { type nat hook postrouting priority 100\; policy accept\; }
nft add rule inet waydroid-fw nat ip saddr <EXAMPLE_IP>/24 masquerade

# 如果系统没有 firewalld / UFW / nftables，直接操作 iptables
iptables -I FORWARD -i waydroid0 -j ACCEPT
iptables -I FORWARD -o waydroid0 -j ACCEPT
iptables -t nat -I POSTROUTING -s <EXAMPLE_IP>/24 -j MASQUERADE

# 允许 DHCP 请求
iptables -I INPUT -i waydroid0 -p udp --dport 67 -j ACCEPT

graph TB
    subgraph Outer["外部攻击面"]
        APP["恶意 Android App"]
        NET["网络攻击"]
    end

    subgraph Layer1["第1层: Namespace 隔离"]
        NS["Process / PID / Mount<br/>Network / IPC / UTS<br/>独立命名空间"]
    end

    subgraph Layer2["第2层: 可选 AppArmor 加固示意"]
        AA1["waydroid-adbd<br/>ADB 守护进程"]
        AA2["waydroid-android_app<br/>Android 应用进程"]
        AA3["lxc-waydroid<br/>LXC 容器整体"]
    end

    subgraph Layer3["第3层: Seccomp-BPF"]
        SEC["系统调用过滤<br/>open_by_handle_at (blocked)<br/>bpf/io_uring 未列默认过滤"]
    end

    subgraph Layer4["第4层: 实际 D-Bus/授权策略检查"]
        PK["D-Bus 操作门控<br/>container.start<br/>container.stop<br/>binder node create"]
    end

    subgraph Inner["内核"]
        KERNEL["Linux Kernel"]
    end

    APP --> NS
    NET --> NS
    NS --> AA1
    NS --> AA2
    NS --> AA3
    AA3 --> SEC
    SEC --> PK
    PK --> KERNEL

    style Layer1 fill:#1a1a2e,stroke:#16213e,color:#e0e0e0
    style Layer2 fill:#0f3460,stroke:#16213e,color:#e0e0e0
    style Layer3 fill:#533483,stroke:#3b2665,color:#e0e0e0
    style Layer4 fill:#e94560,stroke:#c23152,color:#e0e0e0

profile waydroid-adbd flags=(attach_disconnected) {
  # 允许网络和 binder
  network inet stream,
  capability net_bind_service,

  # 仅允许访问 ADB 密钥和 data 目录
  /var/lib/waydroid/rootfs/** r,
  /var/lib/waydroid/data/** rw,

  # 禁止访问宿主敏感路径
  deny /etc/shadow r,
  deny /root/** rw,
}

profile waydroid-android_app flags=(attach_disconnected) {
  # 应用仅可读取 APK 和 system 分区
  /var/lib/waydroid/rootfs/** r,
  /var/lib/waydroid/data/app/** r,

  # 通过 gbinder 与宿主 Waydroid 服务通信
  unix (send, receive) type=stream peer=(label=waydroid-session),

  # 禁止直接访问 GPU 设备节点（通过 HAL 间接使用）
  deny /dev/dri/** rw,
}

profile lxc-waydroid flags=(attach_disconnected) {
  # 允许挂载 Android 镜像
  mount options=(ro, bind) -> /var/lib/waydroid/images/,
  mount options=(rw, bind) -> /var/lib/waydroid/data/,

  # 允许 binder 设备
  /dev/binder rw,
  /dev/binderfs/** rw,

  # 允许 GPU 渲染
  /dev/dri/renderD* rw,
}

cap_sys_admin       # mount 操作、namespace 创建
cap_sys_nice        # 调整进程优先级（Android 调度需要）
cap_net_admin       # 配置网络接口
cap_net_bind_service # 绑定低端口（DHCP、VPN 服务）
cap_net_raw         # 原始套接字（ping 等）
cap_ipc_lock        # 锁定内存（binder 共享内存）
cap_sys_ptrace      # 调试子进程（Zygote fork 监控）

攻击路径                        阻断层
─────────────────────────────────────────
恶意 App 读取宿主文件           → AppArmor + Namespace
恶意 App 执行危险系统调用       → Seccomp
恶意 App 尝试启动/停止容器      → PolicyKit
恶意 App 网络扫描/攻击宿主      → Network Namespace + 防火墙
内核提权 (CVE) 从容器逃逸      → 无阻断 (共享内核)
GPU 驱动内存越界访问            → 部分阻断 (AppArmor 限制 /dev/dri)