iptables防火墙实现七层过滤对应用层的过滤
一）iptables防火墙实现七层过滤对应用层的过滤。(应用模块layer7）
图如下：
1）对内核先打补丁，打上layer7的模块，然后重新编译内核
tar xf netfilter-layer7-v2.23.tar.bz2
useradd mockbuild 先创建一个用户，如不创建下面安装内核会有错误。
rpm -ivh kernel-2.6.32-431.5.1.el6.src.rpm
tar xf linux-2.6.32-431.5.1.el6.tar.bz2 -C /usr/src/获取新的源码，然后打补丁
ln -sv linux-2.6.32-431.5.1.el6 linux
cp /boot/config-2.6.32-358.el6.x86_64 .config以模板方式来配置
打补丁
[root@station141 linux]# patch -p1 < /root/netfilter-layer7-v2.23/kernel-2.6.32-layer7-2.23.patch 1指的是滤去第一个。不作为根来使用
patching file net/netfilter/Kconfig Hunk #1 succeeded at 894 (offset 99 lines). patching file net/netfilter/Makefile Hunk #1 succeeded at 96 (offset 12 lines). patching file net/netfilter/xt_layer7.c patching file net/netfilter/regexp/regexp.c patching file net/netfilter/regexp/regexp.h patching file net/netfilter/regexp/regmagic.h patching file net/netfilter/regexp/regsub.c patching file net/netfilter/nf_conntrack_core.c Hunk #1 succeeded at 201 with fuzz 1. patching file net/netfilter/nf_conntrack_standalone.c Hunk #1 succeeded at 171 with fuzz 2 (offset 6 lines). patching file include/net/netfilter/nf_conntrack.h Hunk #1 succeeded at 123 (offset 5 lines). patching file include/linux/netfilter/xt_layer7.h
Networking support ---》 Networking options ---》[*] Network packet filtering framework (Netfilter) --》Core Netfilter Configuration ---><M> "layer7" match support 开启layeer7层模块 还需要关闭密钥文件： [*] Enable loadable module support ---》 [] Module signature verification (EXPERIMENTAL)》 -*- Cryptographic API --->[ ] In-kernel signature checker (EXPERIMENTAL) 选如上几项。
大概过上1个多小时：编译完成
继续执行make modules_install安装模块
make install
检查内核编译是否成功：
2）对iptables也得打补丁，补上layer7模块，在重新编译iptables
安装iptables等待新的内核编译完成后，再去新的内核编译。
tar xf iptables-1.4.20.tar.bz2
cd netfilter-layer7-v2.23
cd iptables-1.4.20
ls extensions/
cp /root/netfilter-layer7-v2.23/iptables-1.4.3forward-for-kernel-2.6.20forward/libxt_layer7.* extensions/
卸载掉原来的iptables，一会安装新的。和layer7结合
service iptables stop
cp /etc/rc.d/init.d/iptables /root/
cp /etc/sysconfig/iptables-config /root/
rpm -e iptables iptables-ipv6 --nodeps
编译iptables：
./configure --prefix=/usr --with-ksource=/usr/src/linux 指定内核源码位置
make && make install
然后使用脚本
cp /root/iptables /etc/rc.d/init.d
cp /root/iptables-config /etc/sysconfig
为了让layer7能在iptable中生效，还需要在内核参数中添加一行文件。
vim /etc/sysctl.conf
net.netfilter.nf_conntrack_acct = 1
如果执行sysctl -p新加的参数出错的话，检查模块nf_conntrack是否加载
lsmod查看没有的话，modprobe 重新加载
3)为layer7提供特征码：
[root@station141 ~]# tar xf l7-protocols-2009-05-28.tar.gz
[root@station141 ~]# cd l7-protocols-2009-05-28
[root@station141 l7-protocols-2009-05-28]# make install
mkdir -p /etc/l7-protocols
cp -R * /etc/l7-protocols
ls /etc/l7-protocols/protocols/ 里面就是能防止的一些特征码
4）下面配置IP配置防火墙。实现防止http阻挡上网。
5)防火墙配置
6）开启内核转发
sysctl -p生效
7）客户端测试
8）互联网服务器查看确实是同网段访问的。
9）在防火墙上写规则拒绝http服务，规则是在forward上写。
客户端测试：
结果：http服务已经拒绝。
10）测试qq
现在能登陆。
拒绝qq登陆：
测试是否生效：
之前建立过连接，需要注销下，客户端测试。
防火墙上查看规则：
PS：
通过七层防火墙，成功的能在应用层做操作。