Linux里的防火墙（下）：iptables的扩展模块——l7-filter的安装与功能实现

如果在公司里做网络管理员，老板可能会让你屏蔽掉qq和xunlei，那么如果通过iptables来实现这些功能？

首先，要知道qq和xunlei都是特定的服务，它们在传送数据的时候，必然会由一些特征值在数据中，那么我们的iptables如果想要拦截这些数据，就需要知道它们的数据特征值。而l7-filter就是为了这个目的而存在。（当然，不止qq和xunlei，很多协议它都支持）


iptables可以支持很多模块，而l7-filter 是一个iptabels的补丁。但是要想给iptables添加这项扩展功能，就需要给linux系统添加l7模块，也就是说需要重新编译内核。
下面我们就来实现这个过程。虽然过程复杂，但是我们可以给iptables在企业里的过滤田间很多功能。

lf-filter的官方网站：l7-filter-sourceforge.net l7-filter.clearfoundation.com
# sourceforge.net 世界上最大的开源项目网站，有数十万个开源项目。


要实现编译配置l7-filter， 我们需要准备：
Linux 2.6内核（l7并不能很好的支持新内核）
l7-protocols
iptables-1.4.6
netfilter-layer7-v2.22

实现过程：
0)先保存下本机的iptables表,如果有的话
iptables-save > /etc/sysconfig/iptables.bak

恢复的时候使用

iptables-restore < /etc/sysconfig/iptables.bak

1)下载inetfilter包，iptables 1.4.6和内核源代码包，（建议使用iptables 1.4.6版本 内核 2.6.28.10）解压缩：
tar xf linux- -C /usr/src tar netfilter-la -C /usr/src tar iptables -C /usr/src cd /usr/src 2)给内核打补丁
ln -sv linux- linux cd linux patch -p1 <../netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch cp /boot/config-2.6.18-164.el5 ./.config #复制你当前主机的内核配置文件，这样编译的时候只要加上l7模块就可以了 make menuconfig 选如下的项

make && make modules install && make install
2.编译并且安装完成后（需要重启加载新内核）,卸载原有版本iptables，安装新版本

# 卸载之前先拷贝配置文件 cp /etc/init.d/iptables ~/iptebles cp /etc/sysconfig/iptables-config ~/ # 卸载 rpm -e iptables-ipv6 iptables iptate --nodeps ls /usr/src/iptables-1.4.6/extensions # 里面都是各种iptables的补丁 # 编译时指向自己编译的内核 ./configure --prefix=/usr -with-ksource=/usr/src/linux
3. 安装l7-protocols-2009-05-28.tar.gz
# 你可以下载最新版本 解压到/etc后直接make install tar l7-protocols -C /etc cd /etc/l7-protocols make install

ls /etc/l7-protocols/protocol #里面是各种协议的特征值我们来看一下qq的特征值 cat qq.pat # Tencent QQ Protocol - Chinese instant messenger protocol - http://www.qq.com # Pattern attributes: good notsofast fast # Protocol groups: chat # Wiki: http://www.protocolinfo.org/wiki/QQ # Copyright (C) 2008 Matthew Strait, Ethan Sommer; See ../LICENSE # # Over six million people use QQ in China, according to wsgtrsys. # # This pattern has been tested and is believed to work well. # # QQ uses three (two?) methods to connect to server(s?). # one is udp, and another is tcp # udp protocol: the first byte is 02 and last byte is 03 # tcp protocol: the second byte is 02 and last byte is 03 # tony on protocolinfo.org says that now the *third* byte is 02: # "but when I tested on my PC, I found that when qq2007/qq2008 # use tcp protocol, the third byte instead of the second is always 02. # # So the QQ protocol changed again, or I have made a mistake, I wonder # that." # So now the pattern allows any of the first three bytes to be 02. Delete # one of the ".?" to restore to the old behaviour. # pattern written by www.routerclub.com wsgtrsys qq ^.?.?\x02.+\x03$
3.复制第一步备份的iptables配置文件到当前新内核的iptables配置文件位置

cp iptables /etc/init.d
cp iptables-config /etc/sysconfig/

# 修改iptabels里定义的iptables命令路径为/usr/sbin/$IPTABLES，在第21行
vim /etc/init.d/iptables    

试试效果吧，将qq给禁用掉（假设你的主机在192.168.10.0网段）
iptables -t filter -A FORWARD -s 192.168.10.0/24 -m layer7 --l7-proto qq -j REJECT
是不是不能上qq了呢？

补充：
hash里面保存的有你使用的所有命令，它保存使用过的命令路径缓存，这样下次打已经打过的命令速度就快了，但是它有一个坏处，由于我们已经换了iptables的路径，再打会保错
所以我们使用
hash -r 来清除hash缓存