iptables 在Atheros ap121上的移植及应用

最新推荐文章于 2017-05-25 13:38:05 发布
最新推荐文章于 2017-05-25 13:38:05 发布
阅读量2.2k 收藏
点赞数
分类专栏： linux内核相关
　　

  1. iptables的移植

iptables和linux内核中的netfilter集成使用，组成linux的防火墙系统，iptablse可以看作是此防火墙系统的应用CLI。因此，iptables的移植除了要修改自身的配置，也需要重新配置内核已支持netfilter.

    1.  iptables移植

从网上下载iptables源码，如http://www.netfilter.org/projects/iptables/downloads.html。

因AP121使用的内核版本为2.6.31，我下载的源码也是专为2.6.31升级的版本iptables-1.4.5。

解压，放置到ap121开发环境目录下apps/iptables/iptables-1.4.5.

如果直接使用命令来配置：

 ./configure --host=mips-linux --disable-ipv6 –disable-shared

则后续需要修改其生成的所有makefile中的与交叉编译工具连相关的内容，如CC、LD、AR、STRIP等等，比较麻烦。

这里利用开发环境中的移植设置好的默认变量，在主makefile Makefile.ap121-2.6.31中编写configure操作，先定义iptables makefile中特有的变量，然后定义configure操作：

#

#For iptables configure

#

export kbuilddir = $(KERNELPATH)

export kinclude_CFLAGS = -I$(KERNELPATH)/include

export ksourcedir = $(KERNELPATH)

 

iptables_config:

     @echo Start to configure iptables ...

     cd $(TOPDIR)/apps/iptables/iptables-1.4.5 && \

     ./configure --host=mips-linux --disable-ipv6 --disable-shared --prefix=$(INSTALL_ROOT)

 

此处指定了cpu类型为mips，禁用ipv6，禁用共享库，安装路径指定为交叉编译环境中统一定义的FS路径。

此时，如果交叉编译环境编译果，交叉编译工具链已经制作好，则执行如下命令可配置iptable并生成makefile：

#make iptables_config BOARD_TYPE=ap121-2.6.31

此时可以查看确认生成的makefile中使用的是否是交叉编译工具链。

 

仍然在在主makefile Makefile.ap121-2.6.31中编写iptables build操作：

iptables_build:

     @echo making iptables

     cd $(TOPDIR)/apps/iptables/iptables-1.4.5 && \

     $(MAKE) clean KERNEL_DIR=$(KERNELPATH) && \

     $(MAKE) KERNEL_DIR=$(KERNELPATH) NO_SHARED_LIBS=1 DO_IPV6=0 && \

     $(MAKE) install

编译时指定不使用共享库，不使用ipv6.

 

编译时可能会出现如下错误：

libxtables.so: undefined reference to `in6addr_any’’

此时需要打补丁文件，从官网bugzilla 上下载，bug号608：

http://bugzilla.netfilter.org/show_bug.cgi?id=608

 

然后把iptables_build加到主makefile的主build定义中，每次系统编译时自动编译iptables，如下：

ap121-2.6.31_build: common_mainline iptables_build dns_build wlan_driver_build $(BUILD_TYPE)_build

 

可以把iptables_configure加在iptables_build中，即每次make都重新config。

iptables_build:    iptables_config

     @echo making iptables

     cd $(TOPDIR)/apps/iptables/iptables-1.4.5 && \

     $(MAKE) clean KERNEL_DIR=$(KERNELPATH) && \

     $(MAKE) KERNEL_DIR=$(KERNELPATH) NO_SHARED_LIBS=1 DO_IPV6=0 && \

     $(MAKE) install

 

此时make iptables后就会在目标板文件系统目录下生成iptables等执行文件

 

    1.  内核配置

iptables编译安装后不能正常工作，需要内核支持netfilter，打开内核配置界面：

     #cd linux/kernels/mips-linux-2.6.31

     #make menuconfig

load ap121内核配置文件，如下图：

按如下路径选择支持netfilter：

[*] Networking support --->

      Networking options --->

          [*] Network packet filtering framework (Netfilter) --->

进入netfilter配置菜单，如下：

其中两项必须配置，可以根据需要选择要加载的模块。因我们需要使用NAT功能，nat相关的全部选上。为了方便，选中的模块全部以build-in的方式加载

Core Netfilter Configuration --->

IP: Netfilter Configuration --->

我选择的项如下，其它未作选择：

Core Netfilter Configuration --->

<*> Netfilter NFQUEUE over NFNETLINK interface

<*> Netfilter LOG over NFNETLINK interface

<*> Netfilter connection tracking support

<*> Connection tracking netlink interface

-*- Netfilter Xtables support (required for ip_tables)

<*> "NFQUEUE" target Support

<*> "iprange" address range match support

<*> "mac" address match support

<*> "physdev" match support

 

IP: Netfilter Configuration --->

<*> IPv4 connection tracking support (required for NAT)

[*] proc/sysctl compatibility with old connection tracking

<*> IP Userspace queueing via NETLINK (OBSOLETE)

<*> IP tables support (required for filtering/masq/NAT)

<*> Packet filtering

<*> REJECT target support

<*> Full NAT

<*> MASQUERADE target support

<*> REDIRECT target support

<*> Packet mangling

<*> raw table support (required for NOTRACK/TRACE)

<*> ARP tables support

配置完成后保存，退出，重新编译系统。

运行iptables时，可能会出现如下信息：

modprobe: could not parse modules.dep

 

这不会影响iptables的功能。详细的信息请查阅代码或请见官网bugzilla：

http://bugzilla.netfilter.org/show_bug.cgi?id=619

 

  1.  iptables的应用

    1.  iptables基础

Iptables的基础知识请查询相关文档。

 

Iptables通常包括三个表格（Fliter、NAT、Mangle）

   filter∶是预设的table 。通常下面有三个链(chain) 
       INPUT∶ 进入本机的数据包
       OUTPUT∶本机所要送出的数据；
       FORWARD∶本机端口间转发的数据包
   NAT：主要用来做源与目的IP或者端口的转换。
       PREROUTING∶在进行路由判断之前所要进行的规则(DNAT/REDIRECT)。

       POSTROUTING∶在进行路由判断之后所要进行的规(SNAT/MASQUERADE)。

       OUTPUT∶发送出去的封包规则
   mangle∶这个表格主要是与特殊的封包的路由旗标有关，较少使用mangle 这个表格。

 

iptables常见命令及参数如下：

 

iptables [-t tables] [-L] [-nv]
-t ∶后面接table ，例如nat 或filter ，若省略此项目，则使用预设的filter
-L ∶列出目前的table 的规则
-n ∶不进行IP 与HOSTNAME 的反查，显示讯息的速度会快很多！
-v ∶列出更多的资讯，包括通过该规则的封包总位元数、相关的网路介面等


iptables [-t tables] [-FXZ]参数∶
-F ∶清除所有的已订定的规则；
-X ∶杀掉所有使用者"自订" 的chain (应该说的是tables ）
-Z ∶将所有的chain 的计数与流量统计都归零


iptables -P [INPUT,OUTPUT,FORWARD][ACCEPT,DROP]（默认操作filter表格）
iptables -t -nat -P[PREROUTING,POSTROUTING,OUTPUT][ACCEPT,DROP]参数∶
-P ∶定义默认策略( Policy )。注意，这个P 为大写啊！
ACCEPT ∶该封包可接受
DROP ∶该封包直接丢弃，不会让client 端知道为何被丢弃。


iptables [-AI 链] [-io 网路介面] [-p 协议] [-s 来源IP/掩码] [-d 目标IP/掩码] -j [ACCEPT|DROP]
-AI 链∶针对某的链进行规则的"插入" 或"增加"
-A ∶新增加一条规则，该规则增加在原本规则的最后面
-I ∶插入一条规则。如果没有指定此规则的顺序，预设是插入变成第一条规则。
-io ：网路介面∶设定数据包进出的介面规范
-i ∶数据包所进入的那网路介面，例如eth0, lo 等介面。需与INPUT 配合；
-o ∶数据包所传出的那个网路介面，需与OUTPUT 链配合；
-p ：协议∶设定此规则适用于哪种数据包格式主要的数据包格式有∶ tcp, udp, icmp 及all 。
-s ：来源IP/掩码∶设定此规则之数据包的来源项目，可指定单纯的IP 或包括掩码。若规范为『不许』时，则加上! 即可，例如∶-s ! 192.168.100.0/24 表示不许192.168.100.0/24 之数据包来源；
-d ：目标IP/掩码∶同-s ，只不过这里指的是目标的IP 或网域。
-j ∶后面接动作，主要的动作有接受(ACCEPT)、丢弃(DROP) 及记录(LOG)

iptables [-AI 链] [-io 网路介面] [-p tcp,udp] [-s 来源IP/网域] [--sport 端口范围] 
> [-d 目标IP/网域] [--dport 端口范围] -j [ACCEPT|DROP]参数∶
--sport 端口范围∶限制来源的端口号码，端口号码可以是连续的，例如1024:65535
--dport 端口范围∶限制目标的端口号码。


iptables -A INPUT -m state --state 状态参数∶
-m ∶一些iptables 的模组，主要常见的有∶
state ∶状态模组
mac ∶网路卡硬体位址(hardware address)
--state ∶一些数据包的状态，主要有∶
INVALID ∶无效的数据包，例如资料破损的数据包状态
ESTABLISHED∶已经连线成功的连线状态；
NEW ∶想要新建立连线的数据包状态；
RELATED ∶这个最常用！表示这个数据包是与我们主机发送出去的数据包有关。

 

    1.  iptables在ap121上的应用

AP121平台在我们项目的应用中，分为两种模式：标准模式和repeater模式。

标准模式即无线路由器模式，其接口如下：

eth0：wan口一个，有线以太网

eth1：lan口一个，有线局域网

ath0：无线AP

br0：内建的bridge接口，上面绑定了eth1和ath0。

在这种模式下，eth1和ath0在一个局域网内，本机不同网段的数据转发发生在br0和eth0之间。操作如下：

#echo 1 > /proc/sys/net/ipv4/ip_forward                                   //使能内核ip转发

#iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE //eth0出去的数据包伪装本机IP.

Iptables filter链表中默认输入输出都是accept的，使用默认值即可；如果默认是drop的，需要打开br0接收：

#iptables -A FORWARD -i br0 -j ACCEPT

使用如下命令可以查看设定的规则：

#iptables -nvL              //查看filter链表已建立的规则

#iptables -t nat -nvL     //查看nat链表已经建立的规则

另外，测试时，lan和wan要设定为不同网段，lan口和wan口上连接的测试机网要设定为相应端口的地址。

如果powershare工作在repeater模式：

在以上基础上增加一个station端口：ath1

其它端口状态和上面的相同。

增加如下操作：

#iptables -t nat -A POSTROUTING -o ath1 -j MASQUERADE

则ath1端口也作为一个外网端口。

  1.  应用注意事项

  • 如果有几个interface绑定在brigde上，iptables指定的接口要是brigde。

  • 系统必须打开ip forward，否则系统内部不同网段包不被转发

查看系统forward参数是否为1，

#cat /proc/sys/net/ipv4/ip_forward

如果不是，需要设定为1

#echo 1 > /proc/sys/net/ipv4/ip_forward

  • 网关必须设定，局域网lan上连接的测试网关一定要设置为br0地址，wan口上连接的测试机网关一定要设置为eth0地址，否则ping不通

  • 外网端口和局域网端口IP不能设定在相同网段内。

 

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o ath1 -j MASQUERADE

张静
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
Go 交叉编译
酱油蔡的酱油坛
03-22 8083
Go交叉编译Go在1.5版本中改进了对交叉编译的支持，包括统一了编译器、链接器等。使得跨平台交叉编译相当简单，一条命令即能轻松搞定。
iptables 及iptables-service的rpm包
05-17
iptables-services-1.4.21-35.el7.x86_64 iptables-1.4.21-35.el7.x86_64 iptables-services-1.4.21-28.el7.x86_64.rpm iptables-1.4.21-16.el7.x86_64.rpm
向openwrt 源码添加ap143支持
weixin_34348805的博客
04-27 171
借鉴地址：http://www.pppei.net/blog/post/536 1、向文件 \target\linux\ar71xx\generic\profiles\atheros.mk 中添加ap143类型 define Profile/AP143 NAME:=Atheros AP143 reference board...
交叉编译移植Atheros WIFI模块AR1021/AR9374
弹指歌
10-31 6666
记录一下自己移植AR9374wifi驱动的一些问题。 1.解压拿到的驱动程序； tar -xzvf ATH6KL-LSDK-WLAN-AIO-5.0.0.28.tgz 2.进入其中的build/scripts目录，将其中的x86文件夹拷贝一份，重命名为arm。修改其中的config.x86、Makefile.x86名称为arm后缀。修改config.arm其中的KERNELPATH为内核
atheros wifi new version port
waterzhou的专栏
04-25 1209
1. scan result info format is not align with the above framwork. #ifdef ANDROID ret = os_snprintf(pos, end - pos, "====\n"); if (ret = end - pos) return 0; pos += ret; #endif 2.ioctl(drv->g
在Debian 4.0rc3上编译内核2.6.24时加入Layer7模块笔记[防火墙中在TCP/IP第七层Layer7应用层阻挡QQ,MSN等软件的应用]
土哥的BLOG
08-03 5593
作者:何祖彬[RobinHe] Mail:zubin.he@gmail.com始于2008年8月3日 上午版本号:KernelLayer7-V1.0-20080803,2008年8月3日首版转载请注明出处，本文也是采用两篇网友的大部分内容，因此转载时，请也将下面“参考文章”的出处也一并加入！谢谢！本文中难免有不足、遗漏、错别字和句子不
iptables移植，交叉编译后的文件，如果交叉编译工具一致可以直接使用
最新发布
04-21
本文将深入探讨iptables的移植和交叉编译过程，以及如何在不同的硬件平台上使用编译后的文件。 首先，让我们理解什么是iptables移植。移植意味着将一个软件从一个平台迁移到另一个平台，通常是由于目标系统可能不...
Linux上iptables防火墙的基本应用教程.docx
10-29
iptables 是 Linux 上常用的防火墙软件，本教程将介绍 iptables 的安装、清除 iptables 规章、iptables 只开放指定端口、iptables 屏蔽指定 IP、IP 段及解封、删除已添加的 iptables 规章等 iptables 的基本应用。...
Linux上iptables防火墙的应用教程
10-16
Linux 上 iptables 防火墙的应用教程 Linux 上的 iptables 防火墙是一种常用的防火墙软件，能够控制访问 Linux 系统的流量。iptables 防火墙的基本应用包括安装、清除规则、开放指定端口、屏蔽指定 IP、删除已添加...
基于FL2440开发板rt3070工作在STA及AP模式
01-16
### 基于FL2440开发板rt3070工作在STA及AP模式 #### RT3070工作在STA模式 ##### 1. 配置内核 从Linux-3.0开始，RT3070的STA模式驱动已经作为正式版本加入了Linux内核源码中。因此，在配置内核时需要选中一些必要...
往Atheros AR9280中烧写wifi模块过程
kipdoudou的专栏
12-19 1703
1.      ubnt下将ath9k,mac80211,include\net中的代码替换，位置分别在： ath9k: backfire1—backfire—build_dir—linar71xx—compat—driver—net—wireless—ath—ath9k mac80211: ……                                    …… --net—ma
移植usb wifi 驱动
快乐&&平凡
03-26 4383
porting wifi主要分为两个部分，源码的修改 和 配置文件的修改，其中配置文件的修改包括 源码 未编译时 配置文件的修改 和 源码编译后 的配置文件修改，下面就这两部分分析： android 未编译时的 配置文件修改和源码修改 1、 /build/target/board/generic/ BoardConfig.mk 确定是否存在HAVE_CUSTOM_WIFI_DRIVE
嵌入式linux开发板上增加rfkill命令
pengrui18的专栏
12-14 5662
很多计算机系统包含无线电传输，其中包括Wi-Fi、蓝牙和3G设备。这些设备消耗电源，在不使用这些设备时是一种浪费。 RFKill是Linux内核中的一个子系统，它可提供一个界面，在此界面中可查询、激活并取消激活计算机系统中的无线电传输。当取消激活传输时，可使其处于可被软件重新激活的状态（软锁定）或者将其放在软件无法重新激活的位置（硬锁定）。 RFKill核为子系统提供应用程序编程界面
（5）高通AP10.4开发者指南——WLAN（1.5 WLAN驱动模块化的一些其他修改）
walker0411的博客
05-25 8259
1.5 WLAN驱动模块化的一些其他修改从QCA_Networking_2016.SPF.4.0版本开始，OL和DA驱动相互独立，并新建了一个UMAC模块，作为通用层，并独立于OL和DA的模块。 因为DA驱动已经独立于“UMAC+OL”驱动结构，所以将UMAC和OL模块划分成两个不同的模块是必须的。 将所有的OL文件都放到一个新模块（qca_ol）中。这个模块将独立于UMAC模块。 建立一个独立的
ath6kl 架构
weixin_30919235的博客
09-21 143
转：http://blog.csdn.net/robertsong2004/article/details/38899415 AR600x软件被划分为主机端和目标端软件。主机端软件或驱动程序的代码被提供作为平台/操作系统包括 Linux的参考实现。 当前的Linux驱动程序被称为“ath6kl”或AR600x系列芯片的Legacy驱动程序。目标侧软件或固件在芯片的网络处理器上运行，并存储在...
iptables详解
热门推荐
海边顽石的专栏
03-10 1万+
iptables简介        netfilter/iptables（简称为iptables）组成Linux平台下的包过滤防火墙，与大多数的Linux软件一样，这个包过滤防火墙是免费的，它可以代替昂贵的商业防火墙解决方案，完成封包过滤、封包重定向和网络地址转换（NAT）等功能。   iptables基础        规则（rules）其实就是网络管理员预定义的条件，规则一般的定义
Iptables入门指南：详解配置与应用
读者可以在阅读过程中找到这些脚本，并参考其功能和应用场景。 此外，由于电子书的内容来源于互联网资源和教程，许多专业术语都提供了链接至站长百科WIKI，以便于读者深入学习和查询。电子书以PDF格式提供，包含...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值