linux系统之编译内核实现iptables应用层过滤
温馨提示：
之前己经介绍了Linux防火墙iptables的原理及命令用法，在前面说过iptables防火墙是工作在网络层，针对TCP/IP数据包实施过滤和限制，属于典型的包过滤防火墙。以基于网络层的数据包过滤机制为主，同时提供少量的传输层、数据链路层的过滤功能。难以判断数据包对应于何种应用程序(如:视频,QQ)
一、前言：
为了解决上述问题，可以为netfilter打上补丁，由于netfilter是基于Linux内核的，所以要重新编译，而后也要为iptables添加相应的补丁文件，重新编译安装后提供基于应用层(第7层)的扩展功能。通过独立的l7-protocols协议包提供对各种应用层协议的特征识别与定义，从而达到限定应用程序的目的。
二、具体实现过程
注：
1、 目前，官网的layer7只支持到内核版本较低，如要使用，只有两个办法，第一种方法将内核降级，另一个是修改layer7中的源代码，使之适用于当前内核的版本。
2、这里所说的内核版本是指redhat再编译整合后的发布的内核版本，并不是kernel.org中的内核版本。所以要使用请到redhat的ftp站点去下载。
=========================================================================================
1、实验所需要的相关包
l7-protocols协议包:l7-protocols-2009-05-28.tar.gz 下载地址
2、安装过程
⑴、 获取并编译内核
解压缩到指定的目录中
制作软链接，便于以后使用
⑵、为内核打上netfilter-layer7-v2.23补丁
⑶、基于本地系统中的内核配置文件编译此内核
# cp /boot/config-2.6.32-431.el6.x86_64 .config # make menuconfig
①、网络支持
②、参数设定子项
③、设定过滤模板
④、核心过滤配置
⑤、支持layer7匹配器
⑥、确保支持连接追踪
⑦、基于IP过滤配置
⑧、ipv4的nat连接追踪功能
⑨、取消编译验证
⑩、取消模块签名认证
进入API接口
取消签名检查
退出并保存
⑷、编译并安装内核
# make # make modules_install # make install
这样就会在/boot/grub/grub.conf文件中有一个新的内核版本，将default设置到此内核版本次序上，就可以启动新的内核了。
(5)、重启系统，启用新内核
3、编译iptables
#cd /download # tar xf iptables-1.4.20.tar.bz2 # cp /download/netfilter-layer7-v2.23/iptables-1.4.3forward-for-kernel-2.6.20forward/* extensions/
说明：之前己经将nerfilter编译到内核中了，在此将netfilter新的功能支持到kernel2.6.20之后的版本复制到iptabels扩展功能中。
备份启动脚本与配置文件
# cp /etc/rc.d/init.d/iptables /download # cp /etc/sysconfig/iptables-config /download
# make && make install
注：在此处出现如下警告，提示netfilter_conntrack没有找到，这个可以忽略，在安装完成后使用 modprobe加载即可。
还原启动脚本与配置文件
4、为layer7模块提供其所识别的协议的特征码
# tar zxvf l7-protocols-2009-05-28.tar.gz # cd l7-protocols-2009-05-28 # make install
5、如何使用layer7模块
⑴、安装完成后，查看iptabels的版本。
⑵、修改脚本
⑶、ACCT的功能已经可以在内核参数中按需启用或禁用。此参数需要装载nf_conntrack模块后方能生效
⑷、加载nf_conntrack模块（之前警告处提示的那个）
注:更新后iptables在原有基础上新增了应用层的扩展语法，支持更多的扩展功能。
其格式如：
# iptables [specify table & chain] -m layer7 --l7proto [protocol name] -j [action]
系统 ：linux 基于iptables 的防火墙。
1、网络属性：
windows xp
linux网络属性
注：
但无法ping通物理机所在的192.168.1.0网段中的网关（192.168.1.253）
4、xp上网测试
6、查看效果
注：如果想了解更多的l7-protocols支持对那些应用程序限定，请移步官网
====================================完=============================================
本文出自 “和风细雨” 博客，请务必保留此出处http://essun.blog.51cto.com/721033/1389297
郑重声明：本站内容如果来自互联网及其他传播媒体，其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享，并不代表本站赞同其观点和对其真实性负责，也不构成任何其他建议。
