iptables之三：基于iptables实现7层访问过滤

一、实现方法

   iptables它是一个典型的网络防火墙，也就是说，它最多也就只能过滤TCP/IP协议栈，对于像QQ，迅雷，酷狗，大智慧等这样的应用层协议，iptables是没有用武之地的；可什么事情都不是绝对的，这不，美国的一个大牛程序员就为iptables/netfilter开发了一个补丁，只要为内核打上layer7 这个 补丁，那么你就不会再为过滤QQ等应用层协议而忧愁了，实现起来就是分分钟钟的事。因为netfilter是工作于内核空间的，所以我们为其打上补丁后需重新编译内核。而目前官网提供的layer7版本比较低，如果想要实现其功能，只有两个方法：第一为内核降级，第二需编译内核源码。

二、实现必备软件包

1、内核源码包

   kernel-2.6.32-431.11.2.el6.src.rpm

2、layer7内核补丁

   netfilter-layer7-v2.23.tar.bz2

3、iptabl es源码包

   iptables-1.4.20.tar.bz2

4、 l7-protocols协议包

   l7-protocols-2009-05-28.tar.gz

   为了方便，我们把需要的包都放到/root/app下

三、经验分享，血淋淋的教训（2天错误总结）

1、要同步系统时间到当前日期

   同步时间后，编译内核可能还会报错：warning: Clock skew detected. Your build may be incomplete.

 此时需要执行：

find . -type f | xargs -n 5 touch
    make clean
    make

2、保证磁盘空间要足够大

3、IPv4连接追踪功能要编译成模块，而非编入内核

四、实现过程

1、获取并编译内核

1）安装内核源码包需新建一个mockbuild用户，否则会报错

2）# rpm -ivh kernel-2.6.32-431.5.1.x86_64.el6.src.rpm

   安装内核rpm包后会在/root下生成一rpmbuild目录，在/root/rpmbuild/SOURCES下就会有内核源码包和一堆config

3）进入~/rpmbuild/SOURCES目录，解压tar包

 为解压后的目录创建软链接，方便以后使用

2、解压补丁包，拿到etfilter-layer7补丁

3、进入内核源码目录，为其打上layer7补丁

4、以本地内核配置文件为模板，编译内核

[root@nmshuishui linux]# cp /boot/config-2.6.32-358.el6.x86_64 .config
[root@nmshuishui linux]# make menuconfig

（1）装载核心配置模块layer7

Networking support--->Networking options--->Network packet filtering framework(Netfilter)--->core Netfilter Configuration--->"layer7" match support

（2）开启连接追踪

Networking support--->Networking options--->Network packet filtering framework(Netfilter)--->core Netfilter Configuration--->Netfilter connection tracking support

（3）开启IPv4的NAT连接追踪功能

Networking support--->Networking options--->Network packet filtering framework(Netfilter)--->IP：Netfilter Configuration--->IPv4 connection tracking support (required for NAT)

（4）取消模块签名认证

   redhat的签名认证，是一种反盗版机制，如果不取消，则拒绝编译

Enable loadable module support--->Module signature verification（EXPERIMENTAL）

（5）关闭内核签名检查

Cryptographic API--->In-kernel signature checker（EXPERIMENTAL）

（6）保存退出

5、编译并安装内核

# make -j 4
# make modules_install
# make install

经过漫长的两个小时的编译，居然还没有编译完事，端起来电脑看，屏幕一直在滚动，终于发现了它好像一直就在那一个页面循环啊！

又经过了漫长的一夜的等待，回头一看，居然又报错了，真是天理难容啊！

貌似是在说磁盘空间不足的问题，那就使用df -h查查看吧

   果然是100%了，哎，又没做LVM，看来只能重做个系统了，给根分大点，再重新来一次。

又经过漫长的一上午的艰苦等待，还是没有成功，居然又给报了一个错，说是找不到IPv4连接追踪模块？（气的忘截图了）突然想起来那我会编译的时候是直接编译到内核了，看来不行，那就改成模块方式（上面步骤中已经改正），再来！……又过了好久好久 终于OK了！

6、重启系统，启用新内核

7、编译iptables

（1）为iptables打补丁

现在虽然内核支持layer7了，但是iptables并不支持layer7命令，所以我们还需要编译iptables，为iptables打补丁，让其能够支持layer7命令

# tar xf iptables-1.4.20.tar.gz

（2）备份iptables的服务脚本及配置文件

（3）卸载iptables

rpm -e iptables iptables-ipv6 --nodeps

（4）编译安装iptables

./configure  --prefix=/usr  --with-ksource=/usr/src/linux

   编译时可能会出现这样一个界面，直接略过

（5）make && make install

（6）为编译安装的iptables提供脚本及配置文件

cp /root/app/iptables /etc/rc.d/init.d
cp /root/app/iptables-config /etc/sysconfig/

8、为layer7模块提供其所识别的协议的特征码

# tar zxvf l7-protocols-2009-05-28.tar.gz
# cd l7-protocols-2009-05-28
# make install

9、如何使用layer7模块

（1）查看iptables的版本

（2）修改iptables的脚本

因为我们在编译安装的时候修改了脚本的安装路径，所以我们复制前的那个脚本中的会有一些问题需要改改

vim /etc/rc.d/init.d/iptables

（3）ACCT的功能已经可以在内核参数中按需启用或禁用。此参数需要装载nf_conntrack模块后方能生效。

（4）启用连接追踪功能

这里需要在/etc/sysctl.conf中添加一条

（5）iptables应用层过滤语法

因为我们为iptables打了补丁，使其能够支持应用层的过滤，所以就支持了新的语法格式

# iptables [specify table & chain] -m layer7 --l7proto [protocol name] -j [action]

五、应用层过滤测试（基于iptables实现应用层QQ协议过滤）

1、内网客户端环境

内网客户端win7一台，处于VMnet5段中

2、服务器端配置

（1）网卡分配

服务器配置两块网卡，一块用于外网（eth0：172.16.251.93），一块用于外网（eth1：192.168.1.104）

（2）开启转发功能

为了使内网客户端能够通过此服务器上网，需开启转发功能

这只是临时设置，重启失效，如果想永久生效，请修改配置文件/etc/sysctl.conf

（3）设置iptables规则，使内网客户端可以外网

方法一：设置源地址转换

方法二：设置内网源地址伪装

（4）l7规则前，内网客户端可正常登录QQ

（5）基于iptables规则过滤QQ协议

（6）查看过滤结果

效果不言而喻，当然是完美的，不过要想结果完美，还要经过一段痛苦的折磨期！！！

---