Netfilter/Iptables Layer7 应用层过滤策略
Netfilter/Iptables Layer7 应用层过滤策略
Netfilter/Iptables 作为一个典型的包过滤防火墙体系，对于网络层，传输层的数据包过滤具有非常优秀的性能和效率，然而，对于一些面向局域网上网用户的Linux网关服务器，有时候还需要使用QQ，MSN等聊天，使用BT下载工具等现象进行封锁。下面将介绍如何为Netfilter/Iptables 增加应用层过滤。
QQ，MSN等聊天，使用BT下载工具均使用了相对固定的应用层协议。使用L7-filter项目的补丁文件包可以为linux内核增加相应的应用层过滤功能，结合其提供的l7-protocols第7层协议定义包，能够识别不同应用层的数据特征
L7-filter项目站点：http://l7-filter.sourceforge.net/ 下载最新的补丁包及协议包
内核站点:http://www.kernel.org 下载内核，iptables的源码包
注意：L7-filter补丁包内的数据，要与内核及iptables源码版本相匹配
将netfilter-layer7 源码包中的对应补丁文件添加到内核源码中，对内核进行重新编译，安装，安装后使用新内核启动Linux操作系统。
注意：源码目录所在分区至少保持有2.5G的剩余磁盘空间。
wget http://jaist.dl.sourceforge.net/project/l7-filter/l7-filter%20kernel%20version/2.22/netfilter-layer7-v2.22.tar.gz wget https://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.28.8.tar.xz wget http://www.netfilter.org/projects/iptables/files/iptables-1.4.2.tar.bz2 wget http://jaist.dl.sourceforge.net/project/l7-filter/Protocol%20definitions/2009-05-28/l7-protocols-2009-05-28.tar.gz
帮助文件：http://l7-filter.sf.net/HOWTO-kernel
netfilter-layer7：netfilter-layer7-v2.22.tar.gz
Linux内核源码包：linux-2.6.28.8.tar.xz
l7-protocols协议包:l7-protocols-2009-05-28.tar.gz
iptables源码包：iptables-1.4.2.tar.bz2
内核编译步骤：
解包
配置make menuconfig
编译
安装
1.解压释放netfilter-layer7 和内核源码包，使用patch工具合并补丁文件
yum -y install xz xz -d linux-2.6.28.8.tar.xz tar xf linux-2.6.28.8.tar -C /usr/src/ tar xf netfilter-layer7-v2.22.tar.gz -C /usr/src/ cd /usr/src/linux-2.6.28.8/ patch -p1 < ../netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch ------------------------------------------------------------------------------ patching file net/netfilter/Kconfig Hunk #1 succeeded at 757 with fuzz 1 (offset -38 lines). patching file net/netfilter/Makefile Hunk #1 succeeded at 78 with fuzz 2 (offset -6 lines). patching file net/netfilter/xt_layer7.c patching file net/netfilter/regexp/regexp.c patching file net/netfilter/regexp/regexp.h patching file net/netfilter/regexp/regmagic.h patching file net/netfilter/regexp/regsub.c patching file net/netfilter/nf_conntrack_core.c Hunk #1 succeeded at 206 (offset 5 lines). patching file net/netfilter/nf_conntrack_standalone.c Hunk #1 succeeded at 162 (offset -3 lines). patching file include/net/netfilter/nf_conntrack.h patching file include/linux/netfilter/xt_layer7.h
2.重新配置内核编译参数，添加state机制及layer7支持
使用当前RHEL5系统的内核配置文件作为参考，在此基础上添加新的功能
cp /boot/config-2.6.18-194.el5 .config make menuconfig
在配置界面中，方向键用于定位需要配置的项目
select进入子配置菜单
exit返回上一层
help查看帮助信息
空格切换所选项目的编译类型
三种状态：
[]表示不需要该功能
[M]将功能编译成模块
[*]将功能直接编入内核
Networking support ---> Networking options ---> Network packet filtering framework (Netfilter) ---> Core Netfilter Configuration --->
<M> Netfilter connection tracking support
<M> "layer7" match support
<M> "string" match support
<M> "time" match support
<M> "iprange" address range match support
<M> "connlimit" match support"
<M> "state" match support
<M> "conntrack" connection match support
<M> "mac" address match support
<M> "multiport" Multiple port match support
Networking support ---> Networking options ---> Network packet filtering framework (Netfilter) ---> IP: Netfilter Configuration --->
<M> IPv4 connection tracking support (required for NAT)
<M> Full NAT
<M> MASQUERADE target support
<M> NETMAP target support
<M> REDIRECT target support
使用Exit返回 最后当提示保存时，使用Yes确认保存，修改将保存到源码目录中的.config文件中。
/usr/src/linux-2.6.28.8/.config
3.编译新内核，并安装新内核文件
make && make modules_install && make install
新内核编译安装过程将花费较长时间，数十分钟到数小时不等
新内核文件被安装到/boot目录，模块文件将复制到/lib/modules/2.6.28
[root@www iptables-1.4.2]# ls -l /boot/*2.6.28* -rw------- 1 root root 2604581 12-08 10:16 /boot/initrd-2.6.28.8.img -rw-r--r-- 1 root root 1129804 12-08 10:15 /boot/System.map-2.6.28.8 -rw-r--r-- 1 root root 2102800 12-08 10:15 /boot/vmlinuz-2.6.28.8 [root@www iptables-1.4.2]# du -sh /lib/modules/2.6.28.8/ 318M/lib/modules/2.6.28.8/
如果编译内核，途中断过，想重新编译，那么先使用
make mrproper 删除不必要的文件和目录，初次编译内核不需要
make clean 删除不必要的模块和文件
4.调整GRUB引导菜单，使系统以新内核启动，然后重启linux服务器
vi /boot/grub/grub.conf default=0 timeout=5 splashimage=(hd0,0)/grub/splash.xpm.gz hiddenmenu title Red Hat Enterprise Linux Server (2.6.28.8) root (hd0,0) kernel /vmlinuz-2.6.28.8 ro root=LABEL=/ rhgb quiet initrd /initrd-2.6.28.8.img title Red Hat Enterprise Linux Server (2.6.18-194.el5) root (hd0,0) kernel /vmlinuz-2.6.18-194.el5 ro root=LABEL=/ rhgb quiet initrd /initrd-2.6.18-194.el5.img reboot
重新编译安装iptables及安装l7-protocols协议包
除了要对linux内核应用layer7补丁以外，对iptables同样需要应用layer7补丁，才能完整实现应用层过滤功能，在解包后的/usr/src/netfilter-layer7-v2.22/目录中也包括针对iptables源码包的补丁文件。l7-protocols协议包用于为iptables提供判断别应用层数据的特征依据。
1.卸载原有系统中的iptables
cp /etc/rc.d/init.d/iptables /tmp/ 备份iptables启动脚本 cp /etc/sysconfig/iptables.config /tmp 备份iptables配置文件 rpm -e iptables-ipv6 iptables iptstate --nodeps
2.解压释放iptables，并应用补丁文件（复制extensions子目录即可）
tar xf iptables-1.4.2.tar.bz2 -C /usr/src/ cd /usr/src/iptables-1.4.2/ cp /usr/src/netfilter-layer7-v2.22/iptables-1.4.3forward-for-kernel-2.6.20forward/libxt_layer7.* extensions/
3.配置，编译并安装iptables，需要使用--with-ksource 参数指定内核源码路径
./configure --prefix=/ --with-ksource=/usr/src/linux-2.6.28.8 make && make install
4.安装l7-protocols协议包
tar xf l7-protocols-2009-05-28.tar.gz cd l7-protocols-2009-05-28 make install
5.恢复iptables启动脚本及配置文件
cp /tmp/iptables /etc/init.d/iptables cp /tmp/iptables.config /etc/sysconfig/iptables.config
vim /etc/rc.d/init.d/iptables 编辑iptables启动脚本
把$iptables的路径改成/sbin/$iptables
service iptables start chkconfig iptables on
如果在防火墙启动的时候报错
Loading additional iptables modules: ip_conntrack_netbios_n[FAILED]
vi /etc/sysconfig/iptables-config
注释掉
#IPTABLES_MODULES="ip_conntrack_netbios_ns"
使用iptables 设置应用层过滤规则
使用layer7显示匹配策略过滤使用QQ,MSN Edonkey等应用层协议的数据访问
iptables -A FORWARD -m layer7 --l7proto qq -j DROP iptables -A FORWARD -m layer7 --l7proto msn-filetransfer -j DROP iptables -A FORWARD -m layer7 --l7proto msnmessenger -j DROP iptables -A FORWARD -m layer7 --l7proto bittorrenr -j DROP iptables -A FORWARD -m layer7 --l7proto xunlei -j DROP iptables -A FORWARD -m layer7 --l7proto edonkey -j DROP
使用--connlimit 显示匹配进行数据并发连接控制，超过100个并发连接将拒绝
iptables -A FORWARD -p tcp --syn -m connlimit --connlimit-above 100 -j DROP
使用--time显示匹配根据时间范围设置访问策略，允许周一到周五 8:00-18:00之间的数据访问
iptables -A FORWARD -p tcp --dport 80 -m time --timestart 8:00 --timestop 18:00 --weekdays Mon,Tue,Wed,Thu,Fri -j ACCEPT
星期一 MON
星期二 TUE
星期三 WED
星期四 THU
星期五 FRI
星期六 SAT
星期天 SUN
使用string显示匹配策略过滤包含tencent,verycd,***，***的网络访问
iptables -A FORWARD -p udp --dport 53 -m string --string "qq" --algo bm -j DROP iptables -A FORWARD -p udp --dport 53 -m string --string "tencent" --algo bm -j DROP iptables -A FORWARD -p udp --dport 53 -m string --string "verycd" --algo bm -j DROP iptables -A FORWARD -p udp --dport 53 -m string --string "***" --algo bm -j DROP iptables -A FORWARD -p udp --dport 53 -m string --string "***" --algo bm -j DROP
其中--algo参数用于指定字符串识别算法，bm 或 kmp
备注1：
XZ压缩最新压缩率之王
xz是绝大数linux默认就带的一个压缩工具。压缩的比例大，但是时间慢
xz -z 要压缩的文件
如果要保留被压缩的文件加上参数 -k ，如果要设置压缩率加入参数 -0 到 -9调节压缩率。如果不设置，默认压缩等级是6.
xz -d 要解压的文件
同样使用 -k 参数来保留被解压缩的文件。
创建或解压tar.xz文件的方法
习惯了tar czvf或tar xzvf的人可能碰到tar.xz也会想用单一命令搞定解压或压缩。其实不行
tar里面没有征对xz格式的参数比如：
z是针对gzip
j是针对 bzip2
创建tar.xz文件：只要先tar cvf Crushlinux.tar Crushlinux/这样创建Crushlinux.tar文件先，然后使用xz -z Crushlinux.tar来将Crushlinux.tar压缩成为Crushlinux.tar.xz
解压tar.xz文件：先xz -d Crushlinux.tar.xz将Crushlinux.tar.xz解压成Crushlinux.tar 然后，再用tar xvf Crushlinux.tar来解包