iptables +L7 限制常用软件

iptables就是软件防火墙，它能给予ip数据包过滤，应用层（内容）过滤，传输层（状态、端口）过滤。

iptables 2中表格

nat 、filter 、mangle

5种转换链

常用的动作

-j  ACCEPT(允许)

DROP（拒绝）

MASQUERQDE（将地址映射到出口地址）

REDIRECT （ip重新定位）

现在的软件有很多端口，不容易过滤。L7，它将常用的软件的所有端口及属性，分析出来，供我们使用，我们只要引用它即可过滤此软件。

而，我们系统自带的iptables不支持l7，所以，我们要重新编译iptables。

卸载iptables

[root@localhost ~]# cd /etc/init.d/

[root@localhost init.d]# cp -p iptables /tmp

[root@localhost init.d]# rpm -e iptables --nodeps

一般的内核并没有编译iptables的模块，因此，要重新编译内核，可以在官网下载https://www.kernel.org/（我们用的是linux-2.6.25.19.tar.bz2）

在 make menuconfig

   //配置内核时，在“Networking ---> Networking Options ---> Network Packet filtering framework (Netfilter) ”处主要注意两个地方：

   1) ---> Core Netfilter Configuration

       //将“Netfilter connection tracking suport (NEW)”选择编译为模块(M)，需选取此项才能看到layer7支持的配置。

       //将layer7、string、state、time、IPsec、iprange、connlimit……等编译成模块，根据需要看着办。

   2) ---> IP: Netfilter Configuration

       //将“IPv4 connection tracking support (require for NAT)”编译成模块。

       //将“Full NAT”下的“MASQUERADE target support”和“REDIRECT target support”编译成模块。

合并kernel＋layer7补丁

[root@localhost ~]#tar -zxvf netfilter-layer7-v2.20.tar.gz -C /usr/src/

[root@localhost ~]# cd /usr/src/linux-2.6.25.19/

[root@localhostlinux-2.6.25.19]#patch -p1 < /usr/src/netfilter-layer7-v2.20/kernel-2.6.25-layer7-2.20.patch

合并iptables＋layer7补丁

[root@localhost ~]# tar jxvf iptables-1.4.2.tar.bz2 -C /usr/src/ #就将其解压

[root@localhost ~]# cd /usr/src/netfilter-layer7-v2.20/iptables-1.4.1.1-for-kernel-2.6.20forward/ #进入

[root@localhost iptables-1.4.1.1-for-kernel-2.6.20forward]# cp libxt_layer7.c libxt_layer7.man /usr/src/iptables-1.4.2/extensions/ #将layer7的内容拷到iptables中

编译安装

[root@localhost iptables-1.4.1.1-for-kernel-2.6.20forward]# cd /usr/src/iptables-1.4.2/

[root@localhost iptables-1.4.2]# ./configure --prefix=/ --with-ksource=/usr/src/linux-2.6.25.19

[root@localhost iptables-1.4.2]# make && make install

安装l7-protocols模式包

[root@localhost ~]# tar -zxvf l7-protocols-2009-05-10.tar.gz -C /etc/#　解压

[root@localhost ~]# mv /etc/l7-protocols-2009-05-10 /etc/17-protocols　＃重命名

开启路由转发功能

[root@localhost ~]# vim /etc/sysctl.conf

 7 net.ipv4.ip_forward = 1

为了能够ssh，我们做了包过滤

[root@localhost ~]# iptables -t filter -A INPUT -s 192.168.102.198 -p tcp --dport 22 -j ACCEPT

[root@localhost ~]# iptables -t filter -A OUTPUT -d 192.168.102.198 -p tcp --sport 22 -j ACCEPT

为了能够使内网能够上网　，我做了snat  

[root@localhost ~]# iptables -t nat -A POSTROUTING  -o eth0 -j MASQUERADE

拒绝所有

[root@localhost ~]# iptables -P INPUT DROP

[root@localhost ~]# iptables -P OUTPUT DROP

[root@localhost ~]#

实验拓扑图：

测试

192.168.1.10 访问百度

下面。我们过滤qq

正常情况

设置过滤qq

[root@localhost ~]# iptables -A FORWARD -m layer7 --l7proto qq -j DROP

设置后，就不能登陆了

查看日志

[root@localhost ~]# tail -f /var/log/messages

L7匹配了qq

用l7拦截同花顺

正常情况下

设置过滤同花顺

[root@localhost ~]# iptables -A FORWARD -m layer7 --l7proto tonghuashun  -j DROP

不能登陆了

查看服务器日志

匹配了同花顺

限制下载速度

正常情况下100kb/s

设置限制下载速度

[root@localhost ~]# iptables -A FORWARD -d 192.168.1.0/24 -m limit --limit 40/s -j ACCEPT

[root@localhost ~]# iptables -A FORWARD -d 192.168.1.0/24  -j DROP  

可以看到能够限制住

转载于:https://blog.51cto.com/zhoulinjun/1203783