iptables/netfilter基于layer7实现应用层过滤

前言

做为网络管理员,对P2P、QQ、酷狗等软件是又爱又恨,大多数公司为了提高工作效率,禁止公司员工登陆QQ、看视频等,在市场上买专门的上网行为管理设备,随便一种都是价格不菲,而使用linux来做网关一样可以禁止qq、酷狗等软件,为实现此功能就需要为iptables/netfilter添加layer7模块,而iptables/netfilter是基于内核的,所以需要重新编译内核。

编译过程

环境介绍

系统环境:CentOS6.6

所需源码包:kernel-2.6.32-504.16.2.el6.src.rpm(红帽ftp站点提供)

                   iptables-1.4.20.tar.bz2

                   netfilter-layer7-v2.23.tar.bz2

                   l7-protocols-2009-05-28.tar.gz

编译内核

解决依赖关系

[root@Firewall ~]# yum groupinstall "Development Tools" "Server Platform Development" -y

创建所需用户并安装

1.jpg

将源码解压到指定目录

2.jpg

为内核打补丁

3.jpg

开始编译

4.jpg

首先选择此项

5.jpg

进入此项设定参数

6.jpg

下拉,选择此项并进入

7.jpg

进入核心过滤设置

8.jpg

启用layer7支持

9.jpg

返回第一层,进入此项

10.jpg

取消模块签名校验

11.jpg

返回,进入API加密设置

12.jpg

取消内核签名校验,否则无法编译安装

13.jpg

保存退出

14.jpg

编译安装

[root@Firewall linux]# yum install screen -y #为了防止意外,我们在screen里编译安装
[root@Firewall linux]# screen
[root@Firewall linux]# make
[root@Firewall linux]# make modules_install
[root@Firewall linux]# make install

看一下grub.conf文件,新内核的信息已经写入了

15.jpg

以新内核启动

16.jpg

编译iptables

解压并打补丁

17.jpg

备份脚本文件,卸载旧版本

18.jpg

编译安装

[root@Firewall ~]# cd iptables-1.4.20
[root@Firewall iptables-1.4.20]# ./configure --prefix=/usr --with-ksource=/usr/src/linux
[root@Firewall iptables-1.4.20]# make && make install

还原脚本

19.jpg

修改脚本

将所有/sbin/$IPTABLES替换为/usr/sbin/$IPTABLES

20.jpg

查看iptables版本

21.jpg

为layer7模块提供其所识别的协议的特征码

22.jpg

装载模块

23.jpg

添加内核参数,使之永久有效

[root@Firewall ~]# vim /etc/sysctl.conf 

net.netfilter.nf_conntrack_acct = 1

[root@Firewall ~]# sysctl -p

应用层过滤测试

案例要求

假设内网主机由服务器代理上网,为提高工作效率,禁止内网用户登录QQ

代理服务器:192.168.1.254(可访问网络),172.16.10.254

内网客户端:172.16.10.12

网络设置

24.jpg

25.jpg

172.16.0.0/16的网段在VMnet1内

开启服务器路由转发功能

[root@Firewall ~]# vim /etc/sysctl.conf

net.ipv4.ip_forward = 1

[root@Firewall ~]# sysctl -p

设置防火墙规则,使内网可访问网络

26.jpg

查看是否可以访问网络

27.jpg

我们找一个小号登录QQ测试

28.jpg

此时是可以登录的,我们下线,设置防火墙规则,禁用QQ

29.jpg

再次登录试试

30.jpg

登录失败,我们看一下防火墙,有没有匹配到报文

31.jpg

看,已经有报文被拒绝了,至此iptables基于layer7实现应用层过滤以实现,需要禁止其他程序,请自行添加相应规则

The end 

基于layer7的应用层防火墙就说到这里了,除了编译内核时比较费时间外,应该没什么别的麻烦的问题,希望本文可以帮到有需要的小伙伴,配置过程中遇到问题可留言。以上仅为个人学习整理,如有错漏,大神勿喷~~~

原创文章,作者:书生,如若转载,请注明出处:http://www.178linux.com/3635

(0)
上一篇 2015-04-26 23:26
下一篇 2015-04-27 18:30

相关推荐

  • 1.计算机的组成原理与linux初识

    计算机的组成原理 抽象 具体 Linux初识 负责与硬件交互,并向外提供系统调用 Linux大家庭 suse系列: opensuse suse enterprise redhat系列: centos redhat Debian系列: ubuntu debian 命令总结 显示本机IP(需要root权限) [root@localhost dev]# ifcon…

    Linux干货 2017-07-02
  • Linux文件权限及ACL

    文件权限 文件或目录可存取的身份分为3类,owner/group/others (所属者/所属组/其他人) ,所以访问一个文件或目录的权限分为三种, 所有者权限,所属组权限,其他人权限 (通过ll text.log查看)。 在linux系统中常用的权限分为3种 r(read) w(write) x(excute)。 对文件或目录的权限进行修改时,要用到chm…

    Linux干货 2017-06-01
  • 抓包获取QQ好友IP地址

    作者:网海过客 原文连接:https://www.chinasa.net/archives/326.html 原理:通过抓包软件,抓取QQ进程,向QQ好向发送UDP数据包,获取QQ好友IP地址 抓包软件:科来网络分析系统 步骤: 1、打开抓包软件,选择网卡,本地进程分析。 2、向QQ好友发起语音通话 3、在抓包软件里,找到QQ进程,数据包,过滤UDP协议,在…

    Linux干货 2017-06-30
  • 使用Storm实现实时大数据分析

    摘要:随着数据体积的越来越大,实时处理成为了许多机构需要面对的首要挑战。Shruthi Kumar和Siddharth Patankar在Dr.Dobb’s上结合了汽车超速监视,为我们演示了使用Storm进行实时大数据分析。CSDN在此编译、整理。 简单和明了,Storm让大数据分析变得轻松加愉快。 当今世界,公司的日常运营经常会生成TB级别的数据。数据来源…

    Linux干货 2015-04-04
  • mysql知识系列–东西比较全

     A。结构化查询语言(structured query language) B。SQL语句分类  -在MySql数据库中,SQL语句主要可以划分以下几类:  ——DDL(data definition language):数据定义语言,定义对数据库对象(库、表、列、索引)的操作  -create,drop,alter,…

    Linux干货 2017-02-14
  • 第六周

      第6周   1 复制/etc/rc.d/rc.sysinit文件至/tmp目录,将/tmp/rc.sysinit文件中的以至少一个空白字符开头的行的行首加#; cp /etc/rc.d/rc.sysinit ; sed -i 's@^[[:space:]]\+@#@g&#03…

    Linux干货 2017-02-13