Ubuntu9.04配iptables L7封QQ详细过程

来源:互联网 发布:淘宝客服日常工作规范 编辑:程序博客网 时间:2022/08/11 16:24

 2010.3.15 

      最近做一个项目,linux下基于网络行为的防火墙,得知iptables Layer7能够在应用层实现封QQ、MSN、迅雷等应用,因此打算在自己的机器上配置一下iptables L7,以借鉴如何识别应用,并对这些应用进行有效控制。配了接近五天,昨晚终于把L7配好了(也终于睡了个好觉),今天折腾了一上午也终于把QQ成功封了,其中曲折说来话长,我还是长话短说吧。
      先简略介绍下我的系统环境:

            双系统,win7+ubuntu
            Ubuntu linux 9.04(内核2.6.28-11-generic),后将内核升级到2.6.30.5 
       下面,就一步一步来配L7(有点不怎么简洁,但绝对是痛苦经历之后的经验之谈,希望对大家有帮助)。


第一步,做哪些准备?
      刚开始配iptalbes L7相信很多人都有个疑问,什么样的环境才能配iptables L7(以下简称L7)?而且iptables L7的HOWTO是英文的,让人看起来就费劲-_-!
L7在部分2.4内核和2.6内核中都能安装,据本人观察,不管你的linux操作系统是redhat、centos还是新秀ubuntu,只要内核是合适的都能行,具体哪些内核合适,请点这里看内核兼容性:
      http://l7-filter.sourceforge.net/kernelcompat
      如果不知道自己的内核版本,可以在shell下输入命令查看:
            #uname -r

       我的ubuntu内核版本是2.6.28-11-generic,查看了一下兼容性,貌似可以。网上有很多方法配L7的方法,都是通过先升级内核来完成,然后打补丁完成,我本来想我的内核版本已经足够了,于是尝了一下不升级内核,直接给现有内核打补丁,后来感觉一帆风顺,但是在实际配置iptables的时候却一直报"找不到相应规则"(本来是一段英文,但是我忘了怎么写的,大致意思是这样)。没办法,只有重来,只有采取升级内核的方法来完成。
  

       首先去网上下载兼容性还不错的2.6.30.5内核,下载内核网址是(后面会细讲如何升级内核):
              http://www.kernel.org/ //文件名为linux-2.6.30.5.tar.gz

      除了内核的之外,还要做准备以下三样东西:
            1) netfilter-layer7-v2.22.tar.gz,升级netfiler,并用来给内核打支持Layer 7的补丁,网址: http://sourceforge.net/projects/l7-filter/  
            2) iptables-1.4.7.tar.bz2,升级iptables,可以支持更新的系统内核,网址:http://www.netfilter.org/projects/iptables/downloads.html
            3) L7-protocolse-2009-05-28.tar.gz,最新Layer7协议,其中包含了L7所需的匹配模式,网址:http://sourceforge.net/projects/l7-filter/files/ 
       把以上下载的东西全部放在/usr/src/目录下其实哪没关系,不过我看网上基本都这样做,遵照行事就行了,这样也便于下面的叙述:)

     东西准备好了,开始工作!


第二步,打补丁、升级内核
      首先,把 linux-2.6.30.5.tar.gz和netfilter-layer7-v2.22.tar.gz解压,命令为
           #tar -zvxf linux-2.6.30.5.tar.gz
           #tar -zvxf netfilter-layer7-v2.22.tar.gz

      其次,给新内核补丁
           #cd linux-2.6.30.5
           #patch -p1 < ../ netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch

      第三,补丁打上了,不过在编译安装新内核之前还要做一些配置
           #cd /usr/src/linux-2.6.30.5
            #make menuconfig
      这会进入内核配置界面,最重要的是要将如下两个选项先上
           Networking support --->
                  Networking options --->
                        Network packet filtering framework (Netfilter) --->
                               Core Netfilter Configuration --->
                                           "layer7" match support 和 Layer 7 debugging output
      (注:如果以上选项一时看不到,那可能是它前面依赖的一些选项没选到,慢慢摸索下,本人在2.4内2.6的多个版本内核里都配过,路径和选项都有些差异,因此如果这个路径跟你看到的有点不一样,不要慌,慢慢找找,只要L7补丁打好了,就能找到,其他的一些配置怎么选可以去网上搜一下,在此不在详述)      

 

       最后,内核已经配置好,就可以编译安装新内核了:
             #cd /usr/src/linux-2.6.30.5
             #make //由于是完全编译,所以时间可能有点长,根据机器的情况长短不一,我很不幸花了一个多小时 -_-!,干点别的事先,如果你一直盯着它看,等着睡着吧
 
            #make modules_install
             #make install //以前复制内核和System.map,及修改Grub.conf的步骤,都由make install自动实现

 

      新内核编译安装完毕!重启(按理说是应该这么做了,不过建议你先不要慌着输命令重启,看一下下面的文章再说:)
            #reboot
      重启之后不要默认启动,要注意在倒数4、3、2......的时候按Esc,选择以新的内核,也就是我们现在安装的2.6.30.5内核启动。很有可能你会发现找了好久的菜单,都只有以前的内核版本可以选,无奈只好选老版本的启动了,进入系统后,uname -r了一下,也发现系统内核版本没更新,不要慌,且继续看下文如何解决:
      分析一下原因:上面的编译过程没有生成initrd镜像文件,同时cat /boot/grub/menu.lst看了一下,得知make install命令没有自动把新编译的内核的配置写到grub的配置文件里去,这也难怪,启动选项里面没有新内核的选项 了。因此我们来做如下工作,让启项里有我们想要的选项:
             首先,手工生成initrd镜像文件:
                ubuntu下生成initrd镜像文件的命令是:mkinittramfs,系统中如果还没有这个工具,可以在ubuntu新立得软件包管理器中搜索initramfs-tools安装,当然也可以在终端中输入以下命令安装:
                      #apt-get install kernel-package
                只用了这个命令就安装上了,网上还有人在这个命令之后用了下面这个命令,如果用了此条命令没安装上工具的话,可以试着加用一下下面这个命令
                      #
apt-get install initramfs-tools

                完成之后用命令: "mkinitramfs -o initrd.img-2.6.30.5 2.6.30.5" ,将会在当前目录下生成一个名字为 initrd.img-2.6.30.5的initrd 镜像文件。注意:最后那个参数"2.6.30.5" 是版本号,必须与/lib/modules/目录下相应的文件夹同名。
             其次,手动修改menu.lst,gedit /boot/grub/menu.lst增加的内容如下:
                    title Ubuntu 9.04, kernel 2.6.30.5
                    root ()/ubuntu/disks
                    kernel /boot/vmlinuz-2.6.30.5 root=UUID=0E0A73C30A73A67D loop=/ubuntu/disks/root.disk ro quiet splash
                    initrd /boot/initrd.img-2.6.30.5
                    这里有两个地方需要注意1、注意其中的 kernel 和initrd 都指向刚刚自己生成的镜像文件;2、 root的 UUID每个人都不一样,看看自己menu.lst中原来的UUID是多少,复制过来行了。

             这些步骤做好了,就可以安心的重启了。等到系统提示按 ESC 键的时候,可以选择和进入GRUB的菜单。可以看到自己的内核版本已经显示出来了。选择进入之后,一切正常。使用uname -r 命令查看,可以看到当前内核已经新的内核版本了。 

第三步,升级iptables
      #cd /usr/src
      #tar -jxvf iptables-1.4.7.tar.bz2
      #cd iptables-1.4.7
      #cd /usr/src/netfilter-layer7-v2.22/iptables-1.4.3forward-for-kernel-2.6.20forward
      #cp libxt_layer7.* /usr/src/iptables-1.4.7/extensions/

      #cd /usr/src/iptables-1.4.7
      #./configure --prefix=/ --with-ksource=/usr/src/linux-2.6.30.5
      #make && make install
      现在可以用iptables -V命令查看一下iptables版本,可以看到已经被更新了

 

      安装l7-protocols模式包,L7全靠这些协议模式包来完成匹配工作,所以是必不可少的:
      #cd /usr/src
      #tar -zvxf l7-protocols-2009-05-28.tar.gz
      #cd l7-protocols-2009-05-28
      #make install 

最后,测试
   为了让所有的模块都能工作,在测试前,建议重启一下)
      在
端输入下面这条命令:
            iptables -I OUTPUT -m layer7 --l7proto qq -j DROP        //用L7自带规则来封QQ协议
 
     如果没报任何信息基本已经没问题了,然后再通过iptables -L -n -v 看看现在防火墙的配置情况,如果已经有刚才的配置,那么,基本可以说L7也安装成功了!


      关于如何彻底封QQ,很多网上的资料只给了脚本出来,个人认为这样只知其然,不知其所以然,不利于学习,因此下一篇将详细给出思路和编写过程,也有助于更好理解L7。
     此文参考了多位网友的文章,在此列出,真诚致谢:
     http://blog.csdn.net/zccst/archive/2009/09/02/4512259.aspx
     http://ms.ntcb.edu.tw/~steven/l-penguin.s/article/kernel-layer7-filter.htm
     http://blog.sina.com.cn/s/blog_5335d4340100doll.html
     http://www.chinaunix.net/jh/38/914350.html

 

 

 

原创粉丝点击