iptables之7层过滤(封QQ、MSN、P2P等).pdfVIP

iptables 之7层过滤(封 QQ、MSN、P2P 等) iptables 之7层过滤(封 QQ、MSN、P2P 等) iippttaabblleess之之77层层过过滤滤((封封QQQQ、、MMSSNN、、PP22PP等等)) 简介 在Linux的防火墙体系Netfilter下有一个独立的模块L7 filter 。从字面上看Netfilter是对网络数据的过滤，L7 filter是基于数据 流应用层内容的过滤。不过实际上 L7 filter的本职工作不是对数据流进行过滤而是对数据流进行分类。它使用模式匹配算法把进入设备的 数据包应用层内容与事先定义好的协议规则进行比对，如果匹配成功就说明这个数据包属于某种协议。 L7 filter是基于数据流工作的，建立在Netfilter connstrack功能之上。因为一个数据流或者说一个连接的所有数据都是属于同一个应用 的，所以L7 filter没有必要对所以的数据包进行模式匹配，而只匹配一个流的前面几个数据包 （比如10个数据包）。当一个流的前面几个 数据包包含了某种应用层协议的特征码时 （比如QQ），则这个数据流被L7filter识别；当前面几个数据包的内容没有包含某种应用层协议 的特征码时，则L7 filter放弃继续做模式匹配，这个数据流也就没有办法被识别,L7 filter所支持的协议如下图所示 /protocols。 为了学习iptables以及利用它进行应用层的过滤，所以必须先搭建好学习环境。我原来的测试机器装的是CentOS5的系统，而且只安装了 基本的文本界面。在后续的学习中需要用到协议分析工具Wireshark，而该软件的很多功能都需要图形环境才能体现。原本以为在装好操作 系统的情况下用安装光盘附加软件是件很容易的事，后来发现还没有这么简单。所以必须安装图形环境。当然可以先安装基本的 iptables 及7层的包然后再安装图形系统。 安装前的准备 7层过滤首先需要内核支持，现在最新的内核是2.6.33但是L7filter的支持列表只更新到而且有部份的功能未经测试，而所有经 过测试的版本的内核是2.6.28/kernelcompat（如下图所示），为了保证其稳定所以决定将内核升级为 2.6.28。 下载所需的软件包 wget /pub/linux/kernel/v2.6/linux- 2.6.28.tar.bz2 wget /projects/iptables/files/iptab les-1.4.7.tar.bz2 wget /project/l7-filter /Protocol%20definitions/2009-05-28/l7-protocols-200 9-05-28.tar.gz?use_mirror=nchc wget /project/l7-filter /l7-filter%20kernel%20version/2.22/netfilter-layer7 -v2.22.tar.gz?use_mirror=nchc 解压以上文件 tar jxvf linux-2.6.28.tar.bz2 -C /usr/src tar jxvf iptables-1.4.7.tar.bz2 -C /usr/src tar zxvf l7-protocols-2009-05-28.tar.gz -C /usr/src tar zxvf netfilter-layer7-v2.22.tar.gz -C /usr/src 卸载系统自带的iptables rpm -e --nodeps `rpm -qa | grep iptables` Layer 7 Layer 7 安装LLaayyeerr77 以上操作完成后就可以开始编译内核加入Layer 7的支持了，需注意的是在编译内核中有些选项的选取上一定要注意，安装的成功与否很 大程度上取决于内核编译是否成功，内核编译参数如下表所示。 General setup Prompt for development and/or incomplete code/drivers 必选 Networking Networking options Network packet filtering framework (Netfilter) Core Netfilter Configuration 该项下的所有项目建议都选上 M Netfilter connection