iptables 7层过滤

悠悠 2022-05-26 09:44 164阅读 0赞

*  具体的应用层过滤应用程序,例如`qq xunlei`这些影响网络性能的应用程序,`iptables + netfilter`本身是不提供这种过滤机制的,如果需要实现上面的功能,就需要通过第三方的补丁软件来提供上述功能,并且需要注意的是`netfilter`实现的是规则的执行,`iptables`实现的是规则的制定,所以需要向两个都打补;
 *  尝试编译`linux.26.29`内核,并且向内核提供补丁文件

[root@server14 src]# xz -d linux-2.6.28.1.tar.xz 
    [root@server14 src]# tar -xf netfilter-layer7-v2.22.tar.gz 
    [root@server14 src]# ln -sv linux-2.6.28.1 linux

*  然后对内核打补丁

[root@server14 linux]# patch -p1 < ../netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch

*  复制一个内核配置文件的样本,来进行修改

[root@server14 linux]# cp /boot/config-2.6.18-308.el5 .config

*  执行修改版本信息

make menuconfig 
      General setup  --->  ()  Local version - append to kernel release

*  找到关于网络服务的选项  
    ![这里写图片描述][70]
 *  通过下面的链接进入

Networking support ---> Networking options  --->
    [*] Network packet filtering framework (Netfilter)  ---> 
     Core Netfilter Configuration  --->
      <M> Netfilter connection tracking support

*  启用上面的以及相关的子选项  
    ![这里写图片描述][70 1]
 *  继续找到并且启动这几个选项

<M>   "state" match support
    <M>   "layer7" match support
    <M>   "iprange" address range match support 
    <M>   "conntrack" connection tracking match support 
    <M>   "connlimit" match support" <M> "connbytes" per-connection counter match support

*  这里面可以按照需要启动`iptables`相应的扩展模块  
    ![这里写图片描述][70 2]
 *  关键的还需要打开关于`ftp`支持的模块

<M>   FTP protocol support

*  这个模块里面的内容可以根据实际需要进行添加,更改关于`netfilter`的信息

Networking support ---> Networking options  --->
    [*] Network packet filtering framework (Netfilter)  ---> 
    IP: Netfilter Configuration  --->

*  添加进去之后的第一个选项

<M> IPv4 connection tracking support (required for NAT)

*  因为这个是`nat`服务器需要的  
    ![这里写图片描述][70 3]
 *  同时还需要添加

<M>   Full NAT
    <M>     MASQUERADE target support 
    <M>     NETMAP target support 
    <M>     REDIRECT target support

*  说明一下,`M`表示作为模块,进行编译,`*`:表示作为内核核心的一部分;
 *  如果后期没有实际的需求,可以去掉一下不需要的模块,例如驱动的相关模块,因为这里使用的是虚拟机进行编译,对于不需要的驱动可以直接去掉
 *  编辑完成之后,保存修改后的配置文件,然后开始进行编译  
    ![这里写图片描述][70 4]
 *  如果是使用`ssh`链接的虚拟机或者服务器,建议使用`screen`命令,然后执行`make`,防止链接中断,编译停止

[root@server14 linux]# make 
      HOSTLD  scripts/kconfig/conf
    scripts/kconfig/conf -s arch/x86/Kconfig
    ........这个过程需要好久,好久

*  因为是使用虚拟机进行编译,所以,需要保证内存在`2048MB`以上,并且虚拟机里面不建议使用`make -j #`,这个选项,几次使用的经历都出现了虚拟机自动关机的情况;
 *  这是编译完成之后的截图  
    ![这里写图片描述][70 5]
 *  执行`make`之后,执行

[root@server14 linux]# make modules_install 
    这个过程大约几分钟

*  然后执行

[root@server14 linux]# make install

*  修改默认使用第一个进行启动

[root@server14 linux]# vim /etc/grub.conf

![这里写图片描述][70 6]

*  使用命令重新启动,并且使用新的内核

[root@server14 ~]# shutdown -r now

*  启动完成之后,查看内核信息  
    ![这里写图片描述][70 7]
 *  **接下来编译IPtabls**
 *  如果需要使用`RPM`软件包提供管理和配置文件,可以将这些文件进行备份

[root@server14 ~]# cp /etc/init.d/iptables /mnt/
    [root@server14 ~]# cp /etc/sysconfig/iptables-config /mnt/
    [root@server14 ~]# cp /etc/sysconfig/iptables /mnt/iptablesRules

*  首先停止服务,并且禁止开机自启动操作

[root@server14 ~]# /etc/init.d/iptables stop 
    Flushing firewall rules:                                   [  OK  ]
    Setting chains to policy ACCEPT: filter                    [  OK  ]
    Unloading iptables modules: [ OK ]
    [root@server14 ~]# chkconfig iptables off

*  然后卸载使用`iptables`相关的软件包

[root@server14 ~]# rpm -e iptables-ipv6 iptables iptstate --nodeps
    warning: /etc/sysconfig/iptables-config saved as /etc/sysconfig/iptables-config.rpmsave   //这个信息表示保存了一份之前安装的配置文件

*  解压`iptables`的软件包

[root@server14 src]# tar xf iptables-1.4.6.tar.bz2

*  软件包里面的常见的扩展在

[root@server14 extensions]# pwd
    /usr/src/iptables-1.4.6/extensions

*  接下来需要复制补丁里面的扩展信息到上面的这个目录里面

[root@server14 extensions]# cp ../../netfilter-layer7-v2.22/iptables-1.4.3forward-for-kernel-2.6.20forward/libxt_layer7.* .
    其实只有两个文件

*  接下来提供选项进行编译安装

[root@server14 iptables-1.4.6]# ./configure --prefix=/usr --with-ksource=/usr/src/linux

*  因为`iptables`脚本里面的环境变量和使用`make`安装的脚本路径不一致,所以这样进行安装,需要修改`iptables`里面的路径

[root@server14 iptables-1.4.6]# vim /mnt/iptables
    if [ ! -x /usr/sbin/$IPTABLES ]; then
        echo -n $"/usr/sbin/$IPTABLES does not exist."; warning; echo
        exit 0
    fi

*  复制启动脚本,并且配置开机自动启动

[root@server14 iptables-1.4.6]# cp /mnt/iptables /etc/init.d/
    [root@server14 iptables-1.4.6]# chkconfig --add iptables
    [root@server14 iptables-1.4.6]# chkconfig --list | grep iptables 
    iptables        0:off   1:off   2:on    3:on    4:on    5:on    6:off

*  复制配置脚本

[root@server14 iptables-1.4.6]# cp /mnt/iptables-config /etc/sysconfig/

*  接下来启动`iptables`服务

[root@server14 ~]# /etc/init.d/iptables start
    Flushing firewall rules:                                   [  OK  ]
    Setting chains to policy ACCEPT: nat filter                [  OK  ]
    Unloading iptables modules: [ OK ]
    Applying iptables firewall rules:                          [  OK  ]
    Loading additional iptables modules: ip_conntrack_netbios_n[ OK ]

*  如果没有加载`nf_nat_ftp`修改配置文件添加

[root@server14 ~]# vim /etc/sysconfig/iptables-config
    IPTABLES_MODULES="nf_nat_ftp ip_conntrack_netbios_ns"

*  查看使用的模块信息  
    ![这里写图片描述][70 8]
 *  **提供协议特征包**
 *  对于`layer7`的过滤需要使用只idng特定的协议特征,协议特征包使用软件`l7-protocols-2009-05-28.tar.gz`软件包来提供;
 *  对于这个软件包只需要解压,并且执行`make install`

[root@server14 src]# tar -xf l7-protocols-2009-05-28.tar.gz 
    [root@server14 src]# cd l7-protocols-2009-05-28
    [root@server14 l7-protocols-2009-05-28]# make install 
    mkdir -p /etc/l7-protocols
    cp -R * /etc/l7-protocols

*  建议重新启动一下`iptables`

[root@server14 l7-protocols-2009-05-28]# service iptables restart
    Flushing firewall rules:                                   [ OK ]
    Setting chains to policy ACCEPT: filter                    [ OK ]
    Unloading iptables modules:                                [ OK ]
    Applying iptables firewall rules:                          [ OK ]
    Loading additional iptables modules: nf_nat_ftp ip_conntrac[ OK ]s_ns

*  这个软件包支持的大量的协议在软件目录

[root@server14 l7-protocols-2009-05-28]# ll /etc/l7-protocols/protocols/

*  支持的常见协议有:  
    ![这里写图片描述][70 9]
 *  关于需要`layer7`的基础环境配置已经完成了,接下来需要三台主机来模拟进行实验
    
    > server12.com: 192.169.10.20/24表示内网主机  
    > server14.com:两个地址172.25.23.14/24虚拟为互联网地址; 192.168.10.100/24:表示内网主机,并且作为网关地址;  
    > server20.com:172.25.23.30/24表示为互联网地址  
    > 这里添加一个windows xp professional 的主机,用来安装qq,等软件,IP地址为192.168.10.40/24
 *  首先配置`windows xp`的网络,并且测试网络是否正常
 *  找到右下角的网络按钮,选择属性,现在显示网络是不正常的;  
    ![这里写图片描述][70 10]
 *  选择`TCP/IP`点击属性  
    ![这里写图片描述][70 11]
 *  按照规划配置下面的地址

![这里写图片描述][70 12]  
\* 使用配置的地址尝试`ping`网关  
![这里写图片描述][70 13]

*  接下来需要添加一个`SNAT`规则用于将内网地址转换层虚拟的外网地址

[root@server14 ~]# iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j SNAT --to-source 172.25.23.14

*  上面的规则用于虚拟内部主机`192.168.10.0/24`网段的主机访问`172.25.23.14`,接下来需要添加规则,配置真机允许`172.25.23.14/25`能够连上互联网

[root@my Desktop]# iptables -t nat -I POSTROUTING -s 172.25.23.14 -j MASQUERADE
    [root@my Desktop]# iptables -I FORWARD -s 172.25.23.14 -j ACCEPT

*  使用`172.25.23.14/24`来`ping`互联网主机  
    ![这里写图片描述][70 14]
 *  使用`Windows Xp`来安装`QQ`,同时也可以验证网络访问是否正常  
    ![这里写图片描述][70 15]
 *  下载并且安装`QQ`,这里已经安装
 *  接下来指定规则,拒绝`QQ`的访问

[root@server14 ~]# iptables -A FORWARD -s 192.168.10.0/24 -m layer7 --l7proto qq -j REJECT

*  这里在访问网络的过程中已经得到了一些匹配到的报文信息  
    ![这里写图片描述][70 16]
 *  这里查看`QQ`规则是否匹配到报文,这里关心`FORWARD`链,这里还没有报文匹配  
    ![这里写图片描述][70 17]
 *  尝试登陆`QQ`,这里显示由于防火墙的设置,导致登陆失败  
    ![这里写图片描述][70 18]
 *  查看是否匹配到`QQ`对应的报文  
    ![这里写图片描述][70 19]
 *  这里可以看到已经得到对应的报文,说明规则已经生效
 *  接下来删除这个规则,来允许`QQ`访问  
    ![这里写图片描述][70 20]
 *  这里显示的是需要手机`QQ`进行确认,说明登陆已经是成功的了,截一张小图,说明`QQ`已经登陆成功,在`QQ`已经登陆的情况下,添加上述规则,查看`QQ`是否会被强制下线;
 *  规则已经重新添加  
    ![这里写图片描述][70 21]
 *  虽然添加了规则,但是对于已经登陆的的`QQ`并不能够强制进行下线,所以状态仍然为在线  
    ![这里写图片描述][70 22]
 *  还需要注意的是,一旦在报文已经生效的情况下,将状态切换为隐身,那么再切换为在线,这个切换是不能够成功的;
 *  这个`QQ`版本使用的是最新的版本,上面的规则是可以进行生效的;
 *  因为上面重新编译了`kernel iptables`并且在指定模块时将`time`模块加入了,所以这里是可以使用`iptables`的`time`扩展模块的

time
        --datestart YYYY[-MM[-DD[Thh[:mm[:ss]]]]]     --datestop YYYY[-MM[-DD[Thh[:mm[:ss]]]]]     --timestart hh:mm[:ss]      --timestop hh:mm[:ss]      [!] --monthdays day[,day...]
         [!] --weekdays day[,day...]

*  通常来说`start`和`stop`必须是结合起来使用的
 *  可以通过结合`time`模块来实现对于`QQ`的访问限制

[root@server14 ~]# iptables -R FORWARD 1 -m time --timestart 08:10:00 --timestop 12:00:00 -j DROP
    [root@server14 ~]# iptables -A FORWARD  -m time --timestart 14:10:00 --timestop 18:00:00 -j DROP

[70]: /images/20220526/12e08345660d43a097605858b0b9e08c.png
[70 1]: /images/20220526/da6e2746099e410c8d77f37aeee70d1a.png
[70 2]: /images/20220526/1cfb55f99ab7411593039c013d293000.png
[70 3]: /images/20220526/1be71c837f9140f5a9178846bfdbc097.png
[70 4]: /images/20220526/dd9e647d2c6a40fdb9ea4adba15e2f15.png
[70 5]: /images/20220526/c2ae9cf188214056892d595e05fc506f.png
[70 6]: /images/20220526/c9fe8525fde04ed3a5cd467b5566c367.png
[70 7]: /images/20220526/60fb201563294b0db515db23bf8ff2f6.png
[70 8]: /images/20220526/dbc086fa11644f35bbbe8edba47d7ed6.png
[70 9]: /images/20220526/45e8f009cfd149f6be53965051bc2a4b.png
[70 10]: /images/20220526/5748fd032ddb47818f78ce75aa6b9b17.png
[70 11]: /images/20220526/c242232b8cae4c8eb5e7d113fac786c1.png
[70 12]: /images/20220526/88ba0d2874d549128d48bffacb5286c0.png
[70 13]: /images/20220526/5fd9d70036d04932becc88b9ef408c41.png
[70 14]: /images/20220526/f0b7c1d531304a71b8b6ab5125db27ea.png
[70 15]: /images/20220526/8f6fec417e7b4d10ae21a96bd163f95d.png
[70 16]: /images/20220526/3ab96945f0bc455b9922800edf107f48.png
[70 17]: /images/20220526/0702531bb1dd48c4a5c8c09683455f97.png
[70 18]: /images/20220526/9ddaa7406f3143829369f5e526ac75c7.png
[70 19]: /images/20220526/9e3fde1974634221813b2af2e400a84c.png
[70 20]: /images/20220526/115d4ffd731b40ffa3a14c4b68fb936d.png
[70 21]: /images/20220526/2fa21c09274948f0a7d6c463e4efbcf6.png
[70 22]: /images/20220526/822bc43998314311ae3418b5f58c391b.png