为iptables增加layer7补丁(Linux2.6.25内核
为iptables增加layer7补丁(Linux2.6.25内核)
################################################################
系统环境:RHEL5 [ 2.6.18-8.el5xen ]
软件环境:
http://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.25.19.tar.bz2
http://www.netfilter.org/projects/iptables/files/iptables-1.4.2.tar.bz2
http://ie.archive.ubuntu.com/sourceforge/l/l7/l7-filter/netfilter-layer7-v2.20.tar.gz
http://ie.archive.ubuntu.com/sourceforge/l/l7/l7-filter/l7-protocols-2008-10-04.tar.gz
目标功能:
为iptables增加layer7补丁,实现应用层过滤。
一、重新编译内核
1、合并kernel+layer7补丁
shell> tar jxvf linux-2.6.25.19.tar.gz2 -C /usr/src/
shell> tar zxvf netfilter-layer7-v2.20.tar.gz -C /usr/src/
shell> cd /usr/src/linux-2.6.25.19/
shell> patch -p1 < /usr/src/netfilter-layer7-v2.20/kernel-2.6.25-layer7-2.20.patch
2、配置新内核
shell> cp /boot/config-2.6.18-8.el5 .config //偷个懒,沿用旧的内核配置
shell> make menuconfig
//配置内核时,在“Networking ---> Networking Options ---> Network Packet filtering framework (Netfilter) ”处主要注意两个地方:
1) ---> Code Netfilter Configuration
//将“Netfilter connection tracking suport (NEW)”选择编译为模块(M),需选取此项才能看到layer7支持的配置。
//将layer7、string、state、time、IPsec、iprange、connlimit……等编译成模块,根据需要看着办。
2) ---> IP: Netfilter Configuration
//将“IPv4 connection tracking support (require for NAT)”编译成模块。
//将“Full NAT”下的“MASQUERADE target support”和“REDIRECT target support”编译成模块。
3、编译及安装模块、新内核
shell> make && make modules_install && make install
//编译安装成后后,重启选择使用新的内核(2.6.25.19)引导系统
二、重新编译iptables
1、卸载现有iptables
shell> rpm -e iptables iptstat --nodeps
2、合并iptables+layer7补丁
shell> tar jxvf iptables-1.4.2.tar.bz2 -C /usr/src/
shell> cd /usr/src/netfilter-layer7-v2.20/iptables-1.4.1.1-for-kernel-2.6.20forward/
shell> cp libxt_layer7.c libxt_layer7.man /usr/src/iptables-1.4.2/extensions/
3、编译安装
shell> cd /usr/src/iptables-1.4.2/
shell> ./configure --prefix=/ --with-ksource=/usr/src/linux-2.6.25.19
shell> make && make install
4、安装l7-protocols模式包
shell> tar zxvf l7-protocols-2008-10-04.tar.gz -C /etc/
shell> mv /etc/l7-protocols-2008-10-04 /etc/l7-protocols
三、layer7规则示例
1、layer7 match
shell> iptables -A FORWARD -m layer7 --l7proto qq -j DROP
shell> iptables -A FORWARD -m layer7 --l7proto msnmessenger -j DROP
shell> iptables -A FORWARD -m layer7 --l7proto msn-filetransfer -j DROP
shell> iptables -A FORWARD -m layer7 --l7proto xunlei -j DROP
shell> iptables -A FORWARD -m layer7 --l7proto edonkey -j DROP
shell> iptables -A FORWARD -m layer7 --l7proto bittorrent -j DROP
2、string match
shell> iptables -A FORWARD -p udp --dport 53 -m string --string "tencent" --algo bm -j DROP
shell> iptables -A FORWARD -p udp --dport 53 -m string --string "verycd" --algo bm -j DROP
shell> iptables -A FORWARD -p tcp --dport 80 -m string --string "sex" --algo bm -j DROP
3、state match
shell> iptables -A FORWARD -m state --state NEW -p tcp ! --syn -j DROP
shell> iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
4、connlimit match
shell> iptables -A FORWARD -p tcp --syn -m connlimit --connlimit-above 100 --connlimit-mask 24 -j DROP
5、time match
shell> iptables -A FORWARD -p tcp --dport 80 -m time --timestart 8:00 --timestop 17:00 --weekdays Mon,Tue,Wed,Thu,Fri -j ACCEPT
转载于:https://blog.51cto.com/yuanmengxing/682377
为iptables增加layer7补丁(Linux2.6.25内核相关推荐
- Linux下为iptables增加layer7补丁(Linux2.6.25内核)
系统环境:RHEL5 [ 2.6.18-8.el5xen ] 软件环境: http://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.25.19.tar ...
- 【嵌入式Linux学习七步曲之第五篇 Linux内核及驱动编程】PowerPC + Linux2.6.25平台下的I2C驱动架构分析
PowerPC + Linux2.6.25平台下的I2C驱动架构分析 Sailor_forever sailing_9806#163.com (本原创文章发表于Sailor_forever 的个人b ...
- 【嵌入式Linux学习七步曲之第五篇 Linux内核及驱动编程】PowerPC + Linux2.6.25平台下的SPI驱动架构分析
PowerPC + Linux2.6.25平台下的SPI驱动架构分析 Sailor_forever sailing_9806#163.com (本原创文章发表于Sailor_forever 的个人b ...
- Linux-2.6.25 TCPIP函数调用大致流程
Linux-2.6.25 TCPIP函数调用大致流程 学习目的,随手笔记.函数和文字说明会不断补充更新. Changelog 2008.10.08 最近找工作忙.暂时缓缓 插口层 系统调用 se ...
- 《绝冬城之夜2》(Neverwinter Nights 2 CHT) 国际中文版(增加简体补丁)
http://www.verycd.com/topics/118396/ <绝冬城之夜2>(Neverwinter Nights 2 CHT) 国际中文版(增加简体补丁) 状态: 精华资源 ...
- linux26内核,基于AT91RM9200与LINUX2.6.26内核的嵌入式平台开发全过程
一.ARM9+LINUX开发历程 使用了51系列和MOTOROLA单片机若干年,觉得自己已经跟不上嵌入式发展的时代了.决定开发一种新的硬件平台,综合比较了一下,觉得ARM9+LINUX模式不错.先从头 ...
- 基于AT91RM9200与LINUX2.6.26内核的嵌入式平台开发全过程
一.ARM9+LINUX开发历程 使用了51系列和MOTOROLA单片机若干年,觉得自己已经跟不上嵌入式发展的时代了.决定开发一种新的硬件平台,综合比较了一下,觉得ARM9+LINUX模式不错.先从头 ...
- 转载:基于AT91RM9200与LINUX2.6.26内核的嵌入式平台开发全过程
一.ARM9+LINUX开发历程 使用了51系列和MOTOROLA单片机若干年,觉得自己已经跟不上嵌入式发展的时代了.决定开发一种新的硬件平台,综合比较了一下,觉得ARM9+LINUX模式不错.先从头 ...
- linux内核修改工程环境,linux2.6.33内核移植s3c2410以和交叉环境编译搭建最终修改版.pdf...
Linux2.6.33 内核移植S3C2410 以及搭建交叉编译环境 (最终修改完善版本) 作者:胡峰 整理亍2010-3-13嵌入式实验室 嵌入式助理工程师 所需软件以及工具:wmware work ...
最新文章
- 跨平台PHP调试器设计及使用方法——高阶封装
- GCC 参数列举及解释
- 记一次数据库事务的并发同步控制
- 【Java 虚拟机原理】栈帧 | 动态链接 | 方法区 | 字节码文件二进制分析
- ld3320语音识别模块工作原理_变频空调功率模块工作原理与故障检测
- Makefile文件生成
- 如何为Apache JMeter开发插件(一)
- 算法题指南书_分类算法指南
- 八年磨一剑,阿里云ApsaraDB for HBase2.0正式上线
- PAT 1014 Waiting in Line
- python web开发-flask中消息闪现flash的应用
- IDE 的未来在哪里?
- Linux多进程编程之在线词典
- 关于文件的MIME类型
- 下载安装配置Pycharm免费版
- 兼职招募!贪心科技招聘AI课程讲师,薪资超行业标准
- python规模大小的指标是_Python 做证券指数三种策略分析 - 最高收益,最大规模,最小风险...
- 数据结构课程设计——校园导游
- 月入3万多的程序员回老家, 被亲戚说不如县城卖手机月入2千的表弟
- pyscripter支持python什么版本_PyScripter|PyScripter(Python集成开发环境)下载v3.4.2.0官方版64位/32位 - 欧普软件下载...
热门文章
- matlab max函数_从零开始的matlab学习笔记——(14)一些有用的函数(上):最值,平均数,中位数...
- Spark基础学习笔记02:Spark运行时架构
- Scrapy框架学习笔记 - 爬取腾讯招聘网数据
- 安卓学习笔记40:基于套接字网络编程
- 安卓案例:标准化测试
- Python学习笔记:目录与文件操作
- VB讲课笔记14:二级VB知识点总结
- 【HDU5656】CA Loves GCD,容斥思想与乱搞
- 如何设置省略号对其序号 html,html – 包含省略号和垂直对齐中间的框中的多行...
- java 在面板中加入标签_创建一个JTabbedPane面板,为每一个标签设置一个名称