netfilter/iptables模塊編譯及如何應用

312次閱讀

共計 6216 個字符，預計需要花費 16 分鐘才能閱讀完成。

本篇文章為大家展示了 netfilter/iptables 模塊編譯及如何應用，內容簡明扼要并且容易理解，絕對能使你眼前一亮，通過這篇文章的詳細介紹希望你能有所收獲。

by KindGeorge # yahoo.com 2005.4.2 at ChinaUnix.net
相信很多人都會用 iptables, 我也一直用, 并且天天用. 特別是看完 platinum 的如何給 iptables 添加新的模塊介紹后, 覺得有必要深入了解一下它的拓展功能. 于是立刻下載, 先查看一下它的說明, 其功能很是令人感覺很興奮, 例如:comment (備注匹配) ,string(字符串匹配, 可以用做內容過濾),iprang(ip 范圍匹配),time(時間匹配),ipp2p(點對點匹配),connlimit(同時連接個數匹配),Nth(第 n 個包匹配),geoip(根據國家地區匹配). ipp2p(點對點匹配), quota(配額匹配), 還有很多 …… 之后編譯, 幾經測試, 在 rh7.3 kernel2.4.18- 3 和 rh9.0 kernel2.4.20- 8 下均成功實現添加擴展功能. 以下是介紹其部分功能, 及編譯方法. 環境 rh9.0 kernel2.4.20-8. root 身份.
一, 準備原碼.
1. 內核原碼: 為了減少復雜性, 不編譯所有內核和模塊, 建議找一個跟當前版本一樣的內核原碼, 推薦安裝時光盤的
a. [root@kindgeorge] uname -r (查看當前版本)
2.4.20-8
可以 cd /usr/src 查看是否有這個目錄 2.4.20-8
b. 或者 [root@kindgeorge]rpm -qa|grep kernel
kernel-source-2.4.20-8 如果有這個說明已安裝了.
如果沒有安裝, 可以在 RH 第二張光盤中拷貝過來或安裝 rpm -ivh kernel-source-2.4.18-3.i386.rpm. 安裝后會在 /usr/src/ 出現 linux-2.4 連接和 linux-2.4.20- 8 目錄.
c. 在 http://www.kernel.org 或 www.redhat.com 下載一個和當前版本的內核原碼.
2. 先獲取最新的信息, 當然要到 http://www.netfilter.org 或 http://www.iptables.org (這兩個網址是一樣的).
網站左方 download 欄已經說明了最新版本的 iptables-1.3.1
[root@kindgeorge src] cd /usr/src/
a. 獲取最新 iptables : wget http://www.netfilter.org/files/iptables-1.3.1.tar.bz2
解壓:tar xjvf iptables-1.3.1.tar.bz2
b. 獲取最新 patch-o-matic-ng 的地址:ftp://ftp.netfilter.org/pub/patch-o-matic-ng/snapshot/
[root@kindgeorge src] wget ftp://ftp.netfilter.org/pub/patch-o-matic-ng/snapshot/patch-o-matic-ng-20050331.tar.bz2
解壓: tar xjvf patch-o-matic-ng-20050331.tar.bz2

二. 安裝說明
(一). 處理內核源碼.
1. [root@kindgeorge src]# cd /usr/src/linux-2.4
2. [root@kindgeorge linux-2.4]# vi Makefile，
VERSION = 2
PATCHLEVEL = 4
SUBLEVEL = 20
EXTRAVERSION = -8custom
將“EXTRAVERSION = -8custom”改為“EXTRAVERSION = -8”
即:
VERSION = 2
PATCHLEVEL = 4
SUBLEVEL = 20
EXTRAVERSION = -8
為何要修改呢? 因為不同版本的內容是不可以使用的, 當不修改時, 則變成這個版本 (2.4.20-8custom) 了, 不同時是這樣出錯的:
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: kernel-module version mismatch (版本錯誤)
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o was compiled for kernel version 2.4.20-8custom
while this kernel is version 2.4.20-8.
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o failed
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod ipt_iprange failed
3. [root@kindgeorge linux-2.4]# make mrproper
4. [root@kindgeorge linux-2.4]# make oldconfig
make oldconfig – 采用以前的 .config 文件 (編譯時十分有用)
技巧：在 make menuconfig 時，我們面對眾多的選項常常不知道該如何選擇，此時可以把安裝時的配置文件 copy 到 /usr/src/linux-2.4 中：cp /boot/config-2.4.* /usr/src/linux-2.4/.config, 再用 make menuconfig 編譯，它會讀取.config 中原來的配置信息.
(二). 給 netfilter 打補丁
解開 tar xjvf patch-o-matic-ng-20050331.tar.bz2 包后, 進入該目錄, 就會發現有很多目錄, 其實每個目錄對應一個模塊.
我們可以這樣來選擇, 根據不同貯倉庫 submitted|pending|base|extra, 例如:
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme base .
或:KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme extra
執行后, 會測試是否已經應用和提示你是否應用該模塊, 但這樣會遍歷所有模塊, 有很多是用不著的, 并且可能和系統版本有沖突, 如果不管三七二十一全部選擇的話, 一般都會在編譯和使用時出錯. 所以推薦用 cat / 模塊目錄名 /info 和 cat / 模塊目錄名 /help 看過后, 認為適合自己, 才選擇.
我是針對在上面看過后, 有目的的一個一個的應用的, 這樣做:
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme string
執行后, 會測試是否已經應用和提示你是否應用該模塊, 按 y 應用. 然后繼續下一個
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme comment
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme connlimit
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme time
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme iprange
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme geoip
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme nth
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme ipp2p
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme quota
上面全部完成后,
cd /usr/src/linux-2.4
make menuconfig，確認
Prompt for development and/or incomplete code/drivers 要選中
然后進入 Networking options
再進入 IP:Netfilter Configuration，會看到增加很多模塊，每個新增的后面都會出現 NEW , 把其想要的選中為模塊 M
保存、退出，至此，給 netfilter 打補丁工作完成
(三). 編譯 netfilter 模塊
1. 這里只需要編譯 netfilter, 不需要編譯整個內核和模塊. 這里我只需要 ipv4 的,ipv6 我還沒用到, 所以不管了
cd /usr/src/linux-2.4
make dep
make modules SUBDIRS=net/ipv4/netfilter
2. 建立一個新目錄備份原來模塊, 以防萬一:
mkdir /usr/src/netfilter
cp /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/*.o /usr/src/netfilter/
3. 應用新的模塊
cp -f /usr/src/linux-2.4/net/ipv4/netfilter/*.o /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/
4. 更新你的 modules.dep
depmod -a
當出現這個時, 可以不用理會, 因為 ipchains, ipfwadm 模塊都沒用, 也可以把出錯的刪除.
depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipchains_core.o
depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipfwadm_core.o
(四). 編譯安裝新的 iptables
解壓后有目錄 iptables-1.3.1
cd /usr/src/iptables-1.3.1
export KERNEL_DIR=/usr/src/linux-2.4
export IPTABLES_DIR=/usr/src/iptables-1.3.1
make BINDIR=/sbin LIBDIR=/lib MANDIR=/usr/share/man install
三. 安裝完成, 測試及應用
1. 內容過濾
iptables -I FORWARD -m string –string 騰訊 -j DROP
iptables -I FORWARD -s 192.168.3.159 -m string –string qq.com -j DROP
iptables -I FORWARD -d 192.168.3.0/24 -m string –string 寬頻影院 -j DROP
iptables -I FORWARD -s 192.168.3.0/24 -m string –string 色情 -j DROP
iptables -I FORWARD -p tcp –sport 80 -m string –string 廣告 -j DROP
2. 備注應用
iptables -I FORWARD -s 192.168.3.159 -p tcp –dport 80 -j DROP -m comment –comment the bad guy can not online
iptables -I FORWARD -s 192.168.3.159 -m string –string qq.com -j DROP -m comment –comment denny go to qq.com
3. 并發連接應用
模塊 connlimit 作用: 連接限制
–connlimit-above n 限制為多少個
–connlimit-mask n 這組主機的掩碼, 默認是 connlimit-mask 32 , 即每 ip.
這個主要可以限制內網用戶的網絡使用, 對服務器而言則可以限制每個 ip 發起的連接數 … 比較實用
例如: 只允許每個 ip 同時 5 個 80 端口轉發, 超過的丟棄:
iptables -I FORWARD -p tcp –syn –dport 80 -m connlimit –connlimit-above 5 -j DROP
例如: 只允許每組 ip 同時 10 個 80 端口轉發:
iptables -I FORWARD -p tcp –syn –dport 80 -m connlimit –connlimit-above 10 –connlimit-mask 24 -j DROP
例如: 為了防止 DOS 太多連接進來, 那么可以允許最多 15 個初始連接, 超過的丟棄.
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp –syn -m connlimit –connlimit-above 15 -j DROP
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp -m state –state ESTABLISHED,RELATED -j ACCEPT
4.ip 范圍應用
iptables -A FORWARD -m iprange –src-range 192.168.1.5-192.168.1.124 -j ACCEPT
5. 每隔 N 個匹配
iptables -t mangle -A PREROUTING -m nth –every 10 -j DROP
6. 封殺 BT 類 P2P 軟件
iptables -A FORWARD -m ipp2p –edk –kazaa –bit -j DROP
iptables -A FORWARD -p tcp -m ipp2p –ares -j DROP
iptables -A FORWARD -p udp -m ipp2p –kazaa -j DROP
7. 配額匹配
iptables -I FORWARD -s 192.168.3.159 -p tcp –dport 80 -m quota –quota 500 -j DROP
iptables -I FORWARD -s 192.168.3.159 -p tcp –dport 80 -m quota –quota 500 -j ACCEPT
以上均測試通過, 只有 geoip 的 geoipdb.bin 沒下載到, 所以沒測試