以编程方式修改防火墙规则Linux

我需要使用编程在防火墙中分配规则。。我的意思是，我想创建一个web应用程序，用户可以在其中为其ip地址选择防火墙规则，这些规则将分配给该ip。只有一台防火墙机器。我认为一个具有良好api的防火墙可以做到这一点。任何人都知道具有良好api的开源防火墙？？？

linux防火墙被称为

netfilter

，是linux内核的一部分。有各种各样的userland工具来操作它，最显著的是事实上的标准实用工具

iptables

。由于您需要成为root用户才能修改防火墙规则，并且web服务器不应以root用户身份运行，因此我建议采用两层方法来解决此问题：一个web应用程序，它可以修改一组规则（在SQL db或配置文件中），还有一个以root用户身份运行的守护进程，它监视规则更改，并通过执行

iptables

来应用规则更改。如何执行iptables？？该进程是否应该在启用防火墙的同一台服务器上运行？？