Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables 作为一个典型的包过滤防火墙体系,对于网络层,传输层的数据包过滤具有非常优秀的性能和效率,然而,对于一些面向局域网上网用户的Linux网关服务器,有时候还需要使用QQ,MSN等聊天,使用BT下载工具等现象进行封锁。下面将介绍如何为Netfilter/Iptables 增加应用层过滤。

  QQ,MSN等聊天,使用BT下载工具均使用了相对固定的应用层协议。使用L7-filter项目的补丁文件包可以为linux内核增加相应的应用层过滤功能,结合其提供的l7-protocols第7层协议定义包,能够识别不同应用层的数据特征

  L7-filter项目站点:http://l7-filter.sourceforge.net/  下载最新的补丁包及协议包

  内核站点:http://www.kernel.org    下载内核,iptables的源码包

  注意:L7-filter补丁包内的数据,要与内核及iptables源码版本相匹配

  将netfilter-layer7 源码包中的对应补丁文件添加到内核源码中,对内核进行重新编译,安装,安装后使用新内核启动Linux操作系统。

  注意:源码目录所在分区至少保持有2.5G的剩余磁盘空间。

  1  wget http://jaist.dl.sourceforge.net/project/l7-filter/l7-filter%20kernel%20version/2.22/netfilter-layer7-v2.22.tar.gz

  2  wget https://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.28.8.tar.xz

  3  wget http://www.netfilter.org/projects/iptables/files/iptables-1.4.2.tar.bz2

  4  wget http://jaist.dl.sourceforge.net/project/l7-filter/Protocol%20definitions/2009-05-28/l7-protocols-2009-05-28.tar.gz

  帮助文件:http://l7-filter.sf.net/HOWTO-kernel

  netfilter-layer7:netfilter-layer7-v2.22.tar.gz

  Linux内核源码包:linux-2.6.28.8.tar.xz

  l7-protocols协议包:l7-protocols-2009-05-28.tar.gz

  iptables源码包:iptables-1.4.2.tar.bz2

  内核编译步骤:

  解包

  配置make menuconfig

  编译

  安装

  1.解压释放netfilter-layer7 和内核源码包,使用patch工具合并补丁文件

  1 yum -y install xz

  2 xz -d linux-2.6.28.8.tar.xz

  3 tar xf linux-2.6.28.8.tar -C /usr/src/

  4 tar xf netfilter-layer7-v2.22.tar.gz -C /usr/src/

  5 cd /usr/src/linux-2.6.28.8/

  6 patch -p1 < ../netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch

  ——————————————————————————

  7 patching file net/netfilter/Kconfig

  8 Hunk #1 succeeded at 757 with fuzz 1 (offset -38 lines).

  9 patching file net/netfilter/Makefile

  10 Hunk #1 succeeded at 78 with fuzz 2 (offset -6 lines).

  11 patching file net/netfilter/xt_layer7.c

  12 patching file net/netfilter/regexp/regexp.c

  13 patching file net/netfilter/regexp/regexp.h

  14 patching file net/netfilter/regexp/regmagic.h

  15 patching file net/netfilter/regexp/regsub.c

  16 patching file net/netfilter/nf_conntrack_core.c

  17 Hunk #1 succeeded at 206 (offset 5 lines).

  18 patching file net/netfilter/nf_conntrack_standalone.c

  19 Hunk #1 succeeded at 162 (offset -3 lines).

  20 patching file include/net/netfilter/nf_conntrack.h

  21 patching file include/linux/netfilter/xt_layer7.h

  2.重新配置内核编译参数,添加state机制及layer7支持

  使用当前RHEL5系统的内核配置文件作为参考,在此基础上添加新的功能

  1 cp /boot/config-2.6.18-194.el5 .config

  2 make menuconfig

  在配置界面中,方向键用于定位需要配置的项目

  select进入子配置菜单

  exit返回上一层

  help查看帮助信息

  空格切换所选项目的编译类型

  三种状态:

  []表示不需要该功能

  [M]将功能编译成模块

  [*]将功能直接编入内核

  Networking support —> Networking options —> Network packet filtering framework (Netfilter) —> Core Netfilter Configuration —>

  <M> Netfilter connection tracking support

  <M>   "layer7" match support

  <M>   "string" match support

  <M>   "time" match support

  <M>   "iprange" address range match support

  <M>   "connlimit" match support"

  <M>   "state" match support

  <M>   "conntrack" connection match support

  <M>   "mac" address match support

  <M>   "multiport" Multiple port match support

  Networking support —> Networking options —> Network packet filtering framework (Netfilter) —> IP: Netfilter Configuration —>

  <M> IPv4 connection tracking support (required for NAT)

  <M>   Full NAT

  <M>     MASQUERADE target support

  <M>     NETMAP target support

  <M>     REDIRECT target support

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

 Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  Netfilter/Iptables Layer7 应用层过滤策略

  使用Exit返回 最后当提示保存时,使用Yes确认保存,修改将保存到源码目录中的.config文件中。

  /usr/src/linux-2.6.28.8/.config

  3.编译新内核,并安装新内核文件

  1  make && make modules_install && make install

  新内核编译安装过程将花费较长时间,数十分钟到数小时不等

  新内核文件被安装到/boot目录,模块文件将复制到/lib/modules/2.6.28

  1 [root@www iptables-1.4.2]# ls -l /boot/*2.6.28*

  2 -rw——- 1 root root 2604581 12-08 10:16 /boot/initrd-2.6.28.8.img

  3 -rw-r–r– 1 root root 1129804 12-08 10:15 /boot/System.map-2.6.28.8

  4 -rw-r–r– 1 root root 2102800 12-08 10:15 /boot/vmlinuz-2.6.28.8

  5 [root@www iptables-1.4.2]# du -sh /lib/modules/2.6.28.8/

  6 318M/lib/modules/2.6.28.8/

  如果编译内核,途中断过,想重新编译,那么先使用

  make mrproper    删除不必要的文件和目录,初次编译内核不需要

  make clean       删除不必要的模块和文件

  4.调整GRUB引导菜单,使系统以新内核启动,然后重启linux服务器

  1 vi /boot/grub/grub.conf

  2 default=0

  3 timeout=5

  4 splashimage=(hd0,0)/grub/splash.xpm.gz

  5 hiddenmenu

  6 title Red Hat Enterprise Linux Server (2.6.28.8)

  7 root (hd0,0)

  8 kernel /vmlinuz-2.6.28.8 ro root=LABEL=/ rhgb quiet

  9 initrd /initrd-2.6.28.8.img

  10 title Red Hat Enterprise Linux Server (2.6.18-194.el5)

  11 root (hd0,0)

  12 kernel /vmlinuz-2.6.18-194.el5 ro root=LABEL=/ rhgb quiet

  13 initrd /initrd-2.6.18-194.el5.img

  14 reboot

  重新编译安装iptables及安装l7-protocols协议包

  除了要对linux内核应用layer7补丁以外,对iptables同样需要应用layer7补丁,才能完整实现应用层过滤功能,在解包后的/usr/src/netfilter-layer7-v2.22/目录中也包括针对iptables源码包的补丁文件。l7-protocols协议包用于为iptables提供判断别应用层数据的特征依据。

  1.卸载原有系统中的iptables

  1 cp /etc/rc.d/init.d/iptables /tmp/          备份iptables启动脚本

  2 cp /etc/sysconfig/iptables.config /tmp      备份iptables配置文件

  3 rpm -e iptables-ipv6 iptables iptstate –nodeps

  2.解压释放iptables,并应用补丁文件(复制extensions子目录即可)

  1 tar xf iptables-1.4.2.tar.bz2 -C /usr/src/

  2 cd /usr/src/iptables-1.4.2/

  3 cp /usr/src/netfilter-layer7-v2.22/iptables-1.4.3forward-for-kernel-2.6.20forward/libxt_layer7.*   extensions/

  3.配置,编译并安装iptables,需要使用–with-ksource 参数指定内核源码路径

  1 ./configure –prefix=/ –with-ksource=/usr/src/linux-2.6.28.8

  2 make && make install

  4.安装l7-protocols协议包

  1 tar xf l7-protocols-2009-05-28.tar.gz

  2 cd l7-protocols-2009-05-28

  3 make install

  5.恢复iptables启动脚本及配置文件

  1 cp /tmp/iptables /etc/init.d/iptables

  2 cp /tmp/iptables.config /etc/sysconfig/iptables.config

  3 vim /etc/rc.d/init.d/iptables 编辑iptables启动脚本

  把$iptables的路径改成/sbin/$iptables

  1 service iptables start

  2 chkconfig iptables on

  如果在防火墙启动的时候报错

  Loading additional iptables modules: ip_conntrack_netbios_n[FAILED]

  vi /etc/sysconfig/iptables-config

  注释掉

  #IPTABLES_MODULES="ip_conntrack_netbios_ns"

  使用iptables 设置应用层过滤规则

  使用layer7显示匹配策略过滤使用QQ,MSN Edonkey等应用层协议的数据访问

  1 iptables -A FORWARD -m layer7 –l7proto qq -j DROP

  2 iptables -A FORWARD -m layer7 –l7proto msn-filetransfer -j DROP

  3 iptables -A FORWARD -m layer7 –l7proto msnmessenger -j DROP

  4 iptables -A FORWARD -m layer7 –l7proto bittorrenr -j DROP

  5 iptables -A FORWARD -m layer7 –l7proto xunlei -j DROP

  6 iptables -A FORWARD -m layer7 –l7proto edonkey -j DROP

  使用–connlimit 显示匹配进行数据并发连接控制,超过100个并发连接将拒绝

  1 iptables -A FORWARD -p tcp –syn -m connlimit –connlimit-above 100 -j DROP

  使用–time显示匹配根据时间范围设置访问策略,允许周一到周五 8:00-18:00之间的数据访问

  1 iptables -A FORWARD -p tcp –dport 80 -m time –timestart 8:00 –timestop 18:00 –weekdays Mon,Tue,Wed,Thu,Fri -j ACCEPT

  星期一 MON

  星期二 TUE

  星期三 WED

  星期四 THU

  星期五 FRI

  星期六 SAT

  星期天 SUN

  使用string显示匹配策略过滤包含tencent,verycd,***,***的网络访问

  1 iptables -A FORWARD -p udp –dport 53 -m string –string "qq" –algo bm -j DROP

  2 iptables -A FORWARD -p udp –dport 53 -m string –string "tencent" –algo bm -j DROP

  3 iptables -A FORWARD -p udp –dport 53 -m string –string "verycd" –algo bm -j DROP

  4 iptables -A FORWARD -p udp –dport 53 -m string –string "***" –algo bm -j DROP

  5 iptables -A FORWARD -p udp –dport 53 -m string –string "***" –algo bm -j DROP

  其中–algo参数用于指定字符串识别算法,bm 或 kmp

  备注1:

  XZ压缩最新压缩率之王

  xz是绝大数linux默认就带的一个压缩工具。压缩的比例大,但是时间慢

  xz -z 要压缩的文件

  如果要保留被压缩的文件加上参数 -k ,如果要设置压缩率加入参数 -0 到 -9调节压缩率。如果不设置,默认压缩等级是6.

  xz -d 要解压的文件

  同样使用 -k 参数来保留被解压缩的文件。

  创建或解压tar.xz文件的方法

  习惯了tar czvf或tar xzvf的人可能碰到tar.xz也会想用单一命令搞定解压或压缩。其实不行

  tar里面没有征对xz格式的参数比如:

  z是针对gzip

  j是针对 bzip2

  创建tar.xz文件:只要先tar cvf Crushlinux.tar Crushlinux/这样创建Crushlinux.tar文件先,然后使用xz -z Crushlinux.tar来将Crushlinux.tar压缩成为Crushlinux.tar.xz

  解压tar.xz文件:先xz -d Crushlinux.tar.xz将Crushlinux.tar.xz解压成Crushlinux.tar 然后,再用tar xvf Crushlinux.tar来解包
   
    文章来源:http://crushlinux.blog.51cto.com/2663646/1588574

 

发表评论

邮箱地址不会被公开。 必填项已用*标注