Linux下使用l7-filter过滤QQ、迅雷、电驴等

环境：

        RHEL6.6-x86_64

        iptables-1.4.21.tar.bz2

        l7-protocols-2009-05-28.tar.gz

        netfilter-layer7-v2.23.tar.gz

        kernel-2.6.35.8-l7

想禁止员工上班期间玩扣扣，下载电影浪费宝贵的带宽吗？l7-filter是个不错的选择。。

1、给内核打补丁      

# tar xf linux-2.6.35.8.tar.gz -C /usr/src

# tar xf netfilter-layer7-v2.23

# cd /usr/src

# ln -s linux-2.6.35.8 linux

# cd linux

# patch -p1 < /root/netfilter-layer7-v2.23/kernel-2.6.35-layer7-2.23.patch

# cp /boot/config-2.6.32-504.el6.x86_64 /usr/src/linux/.config

# make menuconfig　　

选择以下几项做成内核模块

    Networking support  ---> Networking options ---> Network packet filtering framework (Netfilter)  ---> Core Netfilter Configuration  ---> <M> Netfilter connection tracking support      

Networking support  ---> Networking options ---> Network packet filtering framework (Netfilter)  ---> Core Netfilter Configuration  --->   <M>   "layer7" match support      

Networking support  ---> Networking options ---> Network packet filtering framework (Netfilter)  ---> Core Netfilter Configuration  --->   <M>   "iprange" address range match support

 Networking support  ---> Networking options ---> Network packet filtering framework (Netfilter)--->IP: Netfilter Configuration --->　<M> IPv4 connection tracking support (required for NAT)　　<M>   Full NAT　　　　

# make　

# make modules_install

# make install

内核编译完以后重启

# uname -a

Linux localhost.localdomain 2.6.35.8-l7 #1 SMP Mon Apr 13 13:44:31 CST 2015 x86_64 x86_64 x86_64 GNU/Linux

2、安装iptables

rpm -e iptables-ipv5 iptables --nodeps

# cp /etc/init.d/iptables   /

# tar xf iptables-1.4.21.tar.bz2

# cp /root/netfilter-layer7-v2.23/iptables-1.4.3forward-for-kernel-2.6.20forward/libxt_layer7.* /root/iptables-1.4.21/extensions/

# cd iptables-1.4.21

# ./configure --prefix=/usr --with-ksource=/usr/src/linux

# make 

# make install

# cp /iptables-config /etc/sysconfig/iptables-config

# cp /iptables /etc/init.d/iptables

/etc/init.d/iptables配置文件

.........红色部分为要修改的部分

if [ ! -x /usr/sbin/$IPTABLES ]; then

    echo -n $"${IPTABLES}:/usr/sbin/$IPTABLES does not exist."; warning; echo

    exit 5

fi

# service iptables start

3、安装协议特征包：

# tar xf l7-protocols-2009-05-28

# cd l7-protocols-2009-05-28

# make install 

查看支持的部分协议：

# ls protocols/

100bao.pat                doom3.pat                 jabber.pat            radmin.pat        teamfortress2.pat

aim.pat                   edonkey.pat               kugoo.pat             rdp.pat           teamspeak.pat

aimwebcontent.pat         fasttrack.pat             live365.pat           replaytv-ivs.pat  telnet.pat

applejuice.pat            finger.pat                liveforspeed.pat      rlogin.pat        tesla.pat

..........................

.........................

dayofdefeat-source.pat    ident.pat                 pop3.pat              ssh.pat           xboxlive.pat

dazhihui.pat              imap.pat                  pplive.pat            ssl.pat           xunlei.pat

dhcp.pat                  imesh.pat                 qq.pat                stun.pat          yahoo.pat

directconnect.pat         ipp.pat                   quake1.pat            subspace.pat      zmaap.pat

dns.pat                   irc.pat                   quake-halflife.pat    subversion.pat

4、使用QQ测试

安装部分已经完成，接下来使用QQ做测试，是否能拒绝QQ登录

两台主机：

    主机A两个网卡分别对应 192.168.1.123    192.168.8.131 两个IP ------->指定规则

    主机B   192.168.8.128        -------> 登录QQ

主机B想要连接互联网需要通过主机A转发，主机B的网关为192.168.8.131指向主机A，制定定以下规则：

# iptables -t nat -A POSTROUTING -s 192.168.8.0/24 -j SNAT  --to-source 192.168.1.123

# iptables -A FORWARD -s 192.168.8.0/24 -m layer7 --l7proto qq -j DROP

通过上面两条规则，192.168.8这个网段内的所有主机都无法登录QQ。

可以看到下图中规则已经被匹配到：

[root@localhost ~]# iptables -D FORWARD 1   

删除规则后可正常登录

本文出自 “在路上” 博客，请务必保留此出处http://mingxiao.blog.51cto.com/8124243/1631963