by KindGeorge # yahoo.com 2005.4.2 at ChinaUnix.net
相信很多人都會用iptables,我也一直用,并且天天用.特別是看完platinum的如何給iptables添加新的模塊>;>;介紹后,覺得有必要深入了解一下它的拓展功能.于是立刻下載,先查看一下它的說明, 其功能很是令人感覺很興奮,例如:comment (備注匹配) ,string(字符串匹配,可以用做內(nèi)容過濾),iprang(ip范圍匹配),time(時(shí)間匹配),ipp2p(點(diǎn)對點(diǎn)匹配),connlimit(同時(shí)連接個(gè)數(shù)匹配),Nth(第n個(gè)包匹配),geoip(根據(jù)國家地區(qū)匹配). ipp2p(點(diǎn)對點(diǎn)匹配), quota(配額匹配),還有很多......之后編譯,幾經(jīng)測試,在rh7.3 kernel2.4.18-3和rh9.0 kernel2.4.20-8下均成功實(shí)現(xiàn)添加擴(kuò)展功能.以下是介紹其部分功能,及編譯方法.環(huán)境rh9.0 kernel2.4.20-8. root身份.
一,準(zhǔn)備原碼.
1. 內(nèi)核原碼:為了減少復(fù)雜性,不編譯所有內(nèi)核和模塊,建議找一個(gè)跟當(dāng)前版本一樣的內(nèi)核原碼,推薦安裝時(shí)光盤的
a. [root@kindgeorge] uname -r (查看當(dāng)前版本)
2.4.20-8
可以cd /usr/src 查看是否有這個(gè)目錄2.4.20-8
b. 或者[root@kindgeorge]rpm -qa|grep kernel
kernel-source-2.4.20-8 如果有這個(gè)說明已安裝了.
如果沒有安裝,可以在RH第二張光盤中拷貝過來或安裝 rpm -ivh kernel-source-2.4.18-3.i386.rpm. 安裝后會在/usr/src/出現(xiàn)linux-2.4連接和linux-2.4.20-8目錄.
c.在http://www.kernel.org 或www.redhat.com下載一個(gè)和當(dāng)前版本的內(nèi)核原碼.
2. 先獲取最新的信息,當(dāng)然要到http://www.netfilter.org 或 http://www.iptables.org (這兩個(gè)網(wǎng)址是一樣的).
網(wǎng)站左方download欄已經(jīng)說明了最新版本的iptables-1.3.1
[root@kindgeorge src] cd /usr/src/
a. 獲取最新iptables : wget http://www.netfilter.org/files/iptables-1.3.1.tar.bz2
解壓:tar xjvf iptables-1.3.1.tar.bz2
b. 獲取最新patch-o-matic-ng的地址:ftp://ftp.netfilter.org/pub/patch-o-matic-ng/snapshot/
[root@kindgeorge src] wget ftp://ftp.netfilter.org/pub/patch-o-matic-ng/snapshot/patch-o-matic-ng-20050331.tar.bz2
解壓: tar xjvf patch-o-matic-ng-20050331.tar.bz2
二.安裝說明
(一).處理內(nèi)核源碼.
1. [root@kindgeorge src]# cd /usr/src/linux-2.4
2. [root@kindgeorge linux-2.4]# vi Makefile，
VERSION = 2
PATCHLEVEL = 4
SUBLEVEL = 20
EXTRAVERSION = -8custom
將“EXTRAVERSION = -8custom”改為“EXTRAVERSION = -8”
即:
VERSION = 2
PATCHLEVEL = 4
SUBLEVEL = 20
EXTRAVERSION = -8
為何要修改呢?因?yàn)椴煌姹镜膬?nèi)容是不可以使用的,當(dāng)不修改時(shí),則變成這個(gè)版本(2.4.20-8custom)了,不同時(shí)是這樣出錯的:
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: kernel-module version mismatch (版本錯誤)
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o was compiled for kernel version 2.4.20-8custom
while this kernel is version 2.4.20-8.
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o failed
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod ipt_iprange failed
3. [root@kindgeorge linux-2.4]# make mrproper
4. [root@kindgeorge linux-2.4]# make oldconfig
'make oldconfig' - 采用以前的 .config 文件 (編譯時(shí)十分有用)
技巧：在make menuconfig時(shí)，我們面對眾多的選項(xiàng)常常不知道該如何選擇，此時(shí)可以把安裝時(shí)的配置文件copy到/usr/src/linux-2.4中：cp /boot/config-2.4.* /usr/src/linux-2.4/.config,再用make menuconfig編譯，它會讀取.config中原來的配置信息.
(二).給netfilter打補(bǔ)丁
解開tar xjvf patch-o-matic-ng-20050331.tar.bz2 包后,進(jìn)入該目錄,就會發(fā)現(xiàn)有很多目錄,其實(shí)每個(gè)目錄對應(yīng)一個(gè)模塊.
我們可以這樣來選擇,根據(jù)不同貯倉庫submitted|pending|base|extra,例如:
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme base .
或:KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme extra
執(zhí)行后,會測試是否已經(jīng)應(yīng)用和提示你是否應(yīng)用該模塊,但這樣會遍歷所有模塊,有很多是用不著的,并且可能和系統(tǒng)版本有沖突,如果不管三七二十一全部選擇的話,一般都會在編譯和使用時(shí)出錯.所以推薦用cat /模塊目錄名/info 和cat /模塊目錄名/help 看過后,認(rèn)為適合自己,才選擇.
我是針對在上面看過后,有目的的一個(gè)一個(gè)的應(yīng)用的,這樣做:
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme string
執(zhí)行后,會測試是否已經(jīng)應(yīng)用和提示你是否應(yīng)用該模塊,按"y"應(yīng)用.然后繼續(xù)下一個(gè)
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme comment
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme connlimit
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme time
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme iprange
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme geoip
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme nth
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme ipp2p
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme quota
上面全部完成后,
cd /usr/src/linux-2.4
make menuconfig，確認(rèn)
Prompt for development and/or incomplete code/drivers要選中
然后進(jìn)入Networking options
再進(jìn)入IP:Netfilter Configuration，會看到增加很多模塊，每個(gè)新增的后面都會出現(xiàn)"NEW",把其想要的選中為模塊"M"
保存、退出，至此，給netfilter打補(bǔ)丁工作完成
(三).編譯netfilter模塊
1.這里只需要編譯netfilter,不需要編譯整個(gè)內(nèi)核和模塊.這里我只需要ipv4的,ipv6我還沒用到,所以不管了
cd /usr/src/linux-2.4
make dep
make modules SUBDIRS=net/ipv4/netfilter
2.建立一個(gè)新目錄備份原來模塊,以防萬一:
mkdir /usr/src/netfilter
cp /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/*.o /usr/src/netfilter/
3.應(yīng)用新的模塊
cp -f /usr/src/linux-2.4/net/ipv4/netfilter/*.o /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/
4.更新你的modules.dep
depmod -a
當(dāng)出現(xiàn)這個(gè)時(shí),可以不用理會,因?yàn)閕pchains, ipfwadm模塊都沒用,也可以把出錯的刪除.
depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipchains_core.o
depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipfwadm_core.o
(四).編譯安裝新的iptables
解壓后有目錄iptables-1.3.1
cd /usr/src/iptables-1.3.1
export KERNEL_DIR=/usr/src/linux-2.4
export IPTABLES_DIR=/usr/src/iptables-1.3.1
make BINDIR=/sbin LIBDIR=/lib MANDIR=/usr/share/man install
三.安裝完成,測試及應(yīng)用
1.內(nèi)容過濾
iptables -I FORWARD -m string --string "騰訊" -j DROP
iptables -I FORWARD -s 192.168.3.159 -m string --string "qq.com" -j DROP
iptables -I FORWARD -d 192.168.3.0/24 -m string --string "寬頻影院" -j DROP
iptables -I FORWARD -s 192.168.3.0/24 -m string --string "色情" -j DROP
iptables -I FORWARD -p tcp --sport 80 -m string --string "廣告" -j DROP
2.備注應(yīng)用
iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -j DROP -m comment --comment "the bad guy can not online"
iptables -I FORWARD -s 192.168.3.159 -m string --string "qq.com" -j DROP -m comment --comment "denny go to qq.com"
3.并發(fā)連接應(yīng)用
模塊 connlimit 作用:連接限制
--connlimit-above n 限制為多少個(gè)
--connlimit-mask n 這組主機(jī)的掩碼,默認(rèn)是connlimit-mask 32 ,即每ip.
這個(gè)主要可以限制內(nèi)網(wǎng)用戶的網(wǎng)絡(luò)使用,對服務(wù)器而言則可以限制每個(gè)ip發(fā)起的連接數(shù)...比較實(shí)用
例如:只允許每個(gè)ip同時(shí)5個(gè)80端口轉(zhuǎn)發(fā),超過的丟棄:
iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 5 -j DROP
例如:只允許每組ip同時(shí)10個(gè)80端口轉(zhuǎn)發(fā):
iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP
例如:為了防止DOS太多連接進(jìn)來,那么可以允許最多15個(gè)初始連接,超過的丟棄.
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
4.ip范圍應(yīng)用
iptables -A FORWARD -m iprange --src-range 192.168.1.5-192.168.1.124 -j ACCEPT
5.每隔N個(gè)匹配
iptables -t mangle -A PREROUTING -m nth --every 10 -j DROP
6.封殺BT類P2P軟件
iptables -A FORWARD -m ipp2p --edk --kazaa --bit -j DROP
iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP
iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP
7.配額匹配
iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -m quota --quota 500 -j DROP
iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -m quota --quota 500 -j ACCEPT
以上均測試通過,只有g(shù)eoip的geoipdb.bin沒下載到,所以沒測試
在此僅為拋個(gè)磚頭,更多的應(yīng)用,要根據(jù)自己的需要來組合各個(gè)規(guī)則和模塊了.
本來此篇文章和netfilter/iptables模塊功能中文介紹>;>;是寫在一起的,由于篇幅太長,所以份成兩篇. 如果有更新請見我的blog: http://kindgeorge.at.3322.org
相關(guān)資料:
kindgeorge的
http://blog.chinaunix.net/article.php?articleId=19778blogId=4543
http://bbs.chinaunix.net/forum/viewtopic.php?t=525525 netfilter/iptables模塊功能中文介紹
platinum的 http://bbs.chinaunix.net/forum/viewtopic.php?t=505370 如何給iptables添加新的模塊v2.2（含視頻教程）
hongfengyue的 http://www.chinaunix.net/jh/4/508312.html iptables 添加模塊 （for kernel 2.6）
官方: http://www.netfilter.org/documentation/HOWTO/netfilter-extensions-HOWTO.html
