编译内核,添加layer7等模块实现更强大的netfilter!!

本文介绍自己正学的四个模块的的添加,使netfilter/iptables添加新功能。

四个模块分别为:

ipt_connlimit:限制tcp并发连接,据说这个可以防DDOS;

ipt_ipp2p:控制P2P协议;

ipt_time:根据时间控制;

layer7:应用层的一些协议控制,QQ,迅雷

我的linux是RHEL5.5,实际上只缺少layer7和ipp2p两个功能模块,但这次都做了一下。

需求软件包:

1.跟所应用linux系统正在使用的相同版本的内核源码,如果是redhat GNU/linux的话,建议下载红帽提供的源码,我这里使用的是: kernel-2.6.18-194.el5.src.rpm

2.跟系统iptables相同的netfilter源码包,我使用的是:iptables-1.3.5.tar.bz2 

3. layer7的内核补丁包:netfilter-layer7-v2.9.tar.gz 和应用层协议包:l7-protocols-2009-05-10.tar.gz 

4.一个内核添加模块的补丁工具:patch-o-matic-ng-20080214.tar.bz2

 

步骤:

 

  
  
  
  
  1. [root@test ~]# rpm -ivh kernel-2.6.18-194.el5.src.rpm 
  2. [root@test ~]# cd /usr/src/redhat/SPECS/ 
  3. [root@test ~]# rpmbuild -bp --target=$(uname -m) kernel-2.6.spec 
  4. [root@test ~]# cp -r /usr/src/redhat/BUILD/kernel-2.6.18/linux-2.6.18.i686 /usr/src/linux 
  5. [root@test ~]# cd /usr/src/linux/ 
  6. [root@test ~]# vim /usr/src/linux/Makefile 
  7. --------------------------- 
  8. VERSION = 2 
  9. PATCHLEVEL = 6 
  10. SUBLEVEL = 18 
  11. EXTRAVERSION = -194.el5     #这里要修改为内核的小版本好,就是uanme -r给出的2.6.18之后的部分# 
  12. --------------------------- 
  13. [root@test ~]# cd 
  14. [root@test ~]# tar xvf iptables-1.3.5.tar.bz2 
  15. [root@test ~]# cp -r iptables-1.3.5 /usr/src/iptables 
  16. [root@test ~]# export KERNEL_DIR=/usr/src/linux/ 
  17. [root@test ~]# export IPTABLES_DIR=/usr/src/iptables/ 
  18. [root@test ~]# tar xvf patch-o-matic-ng-20080214.tar.bz2 
  19. [root@test ~]# cd patch-o-matic-ng-20080214 
  20. [root@test ~]# ./runme --download 
  21. [root@test ~]# ./runme connlimit    #提示时选择y确认即可 
  22. [root@test ~]# ./runme time    #提示时选择y确认即可 
  23. [root@test ~]# ./runme ipp2p     #提示时选择y确认即可 
  24. [root@test ~]# cd .. 
  25. [root@test ~]# tar zxvf netfilter-layer7-v2.9.tar.gz 
  26. [root@test ~]# cd /usr/src/linux/ 
  27. [root@test ~]# patch -p1 < /root/iptables_ext/netfilter-layer7-v2.9/kernel-2.6.18-2.6.19-layer7-2.9.patch 
  28. [root@test ~]# patch -p1 < /root/iptables_ext/netfilter-layer7-v2.9/iptables-layer7-2.9.patch 
  29. [root@test ~]# cd /usr/src/linux 
  30. [root@test ~]# make menuconfig    # 配置内核选项 
  31. ---------------------------- 
  32. networking 
  33.     ----> networking options 
  34.         ---> network packet filtering(replaces inchains) 
  35.             ---> [*] Network packet filtering debugging 
  36.             --->IP: Netfilter Configuration      #如果能看到含有下面的五项说明你前面的工作正确 
  37.                 ---> <M>  Layer 7 match support (EXPERIMENTAL)  
  38.                      [*]  Layer 7 debugging output 
  39.                      <M> TIME match  support 
  40.                      <M> IPP2P match support 
  41.                      <M> Connections/IP limit match support  
  42.  
  43. ---------------------------- 
  44. [root@test ~]# cd /usr/src/linux/net/ipv4/netfilter 
  45. [root@test ~]# cp Makefile Makefile.bak 
  46. [root@test ~]# vim Makefile  #清空内容,并配置如下: 
  47. ---------------------------- 
  48. obj-m :ipt_connlimit.o ipt_time.o ipt_ipp2p.o ipt_layer7.o 
  49. KDIR := /lib/modules/$(shell uname -r)/build 
  50. PWD := $(shell pwd) 
  51. default: $(MAKE) -C $(KDIR) M=$(PWD) modules 
  52. ---------------------------- 
  53. [root@test ~]# cd /usr/src/linux/ 
  54. [root@test ~]# make M=net/ipv4/netfilter/   #如果出错请先运行下面两条命令 
  55. [root@test ~]# make oldconfig && make prepare 
  56. [root@test ~]# make scripts 
  57. [root@test ~]# make M=net/ipv4/netfilter/  #这是在net/ipv4/netfilter就产生了我们需要的几个模块 ko后缀文件 
  58. [root@test ~]# ls net/ipv4/netfilter |grep ko 
  59. ipt_connlimit.ko 
  60. ipt_ipp2p.ko 
  61. ipt_layer7.ko 
  62. ipt_time.ko 
  63. [root@test ~]# cp net/ipv4/netfilter/*.ko /lib/modules/2.6.18-194.el5/kernel/net/ipv4/netfilter/ 
  64. [root@test ~]# insmod /lib/modules/2.6.18-194.el5/kernel/net/ipv4/netfilter/ipt_connlimit.ko 
  65. [root@test ~]# insmod /lib/modules/2.6.18-194.el5/kernel/net/ipv4/netfilter/ipt_time.ko 
  66. [root@test ~]# insmod /lib/modules/2.6.18-194.el5/kernel/net/ipv4/netfilter/ipt_ipp2p.ko 
  67. [root@test ~]# insmod /lib/modules/2.6.18-194.el5/kernel/net/ipv4/netfilter/ipt_layer7.ko 
  68. #如果有出现插入模块出错的情况,请先插入ip_conntrack x——tables 这两个模块 
  69. #插入模块正常,但使用出错时,是由于缺少所需的库,我们需要编译下iptables源码产生需要的库文件 
  70. [root@test ~]# cd /usr/src/iptables/ 
  71. [root@test ~]# make 
  72. #将产生的几个库文件拷贝至 /lib/iptables/ 下即可 
  73.  
  74. #安装layer7的协议包 
  75. [root@test ~]# cd 
  76. [root@test ~]# tar xvf l7-protocols-2009-05-10.tar.gz 
  77. [root@test ~]# cd l7-protocols-2009-05-10 
  78. [root@test ~]# make install 
  79.  
  80. 至此,你的内核已经可以使用这些新添加的模块功能了,ipp2p模块有时遇到错误不好解决,正在探索
  81.  
  82.  

你可能感兴趣的:(linux,职场,内核,p2p,休闲,layer7,rilee)