netfilter/iptables模塊編譯及如何應(yīng)用

本篇文章為大家展示了netfilter/iptables模塊編譯及如何應(yīng)用，內(nèi)容簡明扼要并且容易理解，絕對(duì)能使你眼前一亮，通過這篇文章的詳細(xì)介紹希望你能有所收獲。

by KindGeorge # yahoo.com  2005.4.2 at ChinaUnix.net
相信很多人都會(huì)用iptables,我也一直用,并且天天用.特別是看完platinum的<<如何給iptables添加新的模塊>;>;介紹后,覺得有必要深入了解一下它的拓展功能.于是立刻下載,先查看一下它的說明, 其功能很是令人感覺很興奮,例如:comment (備注匹配) ,string(字符串匹配,可以用做內(nèi)容過濾),iprang(ip范圍匹配),time(時(shí)間匹配),ipp2p(點(diǎn)對(duì)點(diǎn)匹配),connlimit(同時(shí)連接個(gè)數(shù)匹配),Nth(第n個(gè)包匹配),geoip(根據(jù)國家地區(qū)匹配). ipp2p(點(diǎn)對(duì)點(diǎn)匹配), quota(配額匹配),還有很多......之后編譯,幾經(jīng)測試,在rh7.3 kernel2.4.18-3和rh9.0 kernel2.4.20-8下均成功實(shí)現(xiàn)添加擴(kuò)展功能.以下是介紹其部分功能,及編譯方法.環(huán)境rh9.0 kernel2.4.20-8.  root身份.
一,準(zhǔn)備原碼.
1.        內(nèi)核原碼:為了減少復(fù)雜性,不編譯所有內(nèi)核和模塊,建議找一個(gè)跟當(dāng)前版本一樣的內(nèi)核原碼,推薦安裝時(shí)光盤的
a.        [root@kindgeorge] uname -r   (查看當(dāng)前版本)
2.4.20-8
可以cd  /usr/src 查看是否有這個(gè)目錄2.4.20-8
b.        或者[root@kindgeorge]rpm -qa|grep kernel
  kernel-source-2.4.20-8   如果有這個(gè)說明已安裝了.
如果沒有安裝,可以在RH第二張光盤中拷貝過來或安裝  rpm -ivh kernel-source-2.4.18-3.i386.rpm. 安裝后會(huì)在/usr/src/出現(xiàn)linux-2.4連接和linux-2.4.20-8目錄.
          c.在http://www.kernel.org 或www.redhat.com下載一個(gè)和當(dāng)前版本的內(nèi)核原碼.
2.  先獲取最新的信息,當(dāng)然要到http://www.netfilter.org 或 http://www.iptables.org  (這兩個(gè)網(wǎng)址是一樣的).
網(wǎng)站左方download欄已經(jīng)說明了最新版本的iptables-1.3.1
[root@kindgeorge src] cd /usr/src/
a.        獲取最新iptables :  wget http://www.netfilter.org/files/iptables-1.3.1.tar.bz2
解壓:tar xjvf iptables-1.3.1.tar.bz2
b.        獲取最新patch-o-matic-ng的地址:ftp://ftp.netfilter.org/pub/patch-o-matic-ng/snapshot/
[root@kindgeorge src] wget ftp://ftp.netfilter.org/pub/patch-o-matic-ng/snapshot/patch-o-matic-ng-20050331.tar.bz2
解壓: tar xjvf patch-o-matic-ng-20050331.tar.bz2

二.安裝說明
(一).處理內(nèi)核源碼.
1. [root@kindgeorge src]# cd /usr/src/linux-2.4
2. [root@kindgeorge linux-2.4]# vi Makefile，
VERSION = 2
PATCHLEVEL = 4
SUBLEVEL = 20
EXTRAVERSION = -8custom
將“EXTRAVERSION = -8custom”改為“EXTRAVERSION = -8”
即:
VERSION = 2
PATCHLEVEL = 4
SUBLEVEL = 20
EXTRAVERSION = -8
為何要修改呢?因?yàn)椴煌姹镜膬?nèi)容是不可以使用的,當(dāng)不修改時(shí),則變成這個(gè)版本(2.4.20-8custom)了,不同時(shí)是這樣出錯(cuò)的:
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: kernel-module version mismatch (版本錯(cuò)誤)
        /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o was compiled for kernel version 2.4.20-8custom
        while this kernel is version 2.4.20-8.
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o failed
/lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipt_iprange.o: insmod ipt_iprange failed
3. [root@kindgeorge linux-2.4]# make mrproper
4. [root@kindgeorge linux-2.4]# make oldconfig 
'make oldconfig' - 采用以前的 .config 文件 (編譯時(shí)十分有用)
技巧：在make menuconfig時(shí)，我們面對(duì)眾多的選項(xiàng)常常不知道該如何選擇，此時(shí)可以把安裝時(shí)的配置文件copy到/usr/src/linux-2.4中：cp /boot/config-2.4.* /usr/src/linux-2.4/.config,再用make menuconfig編譯，它會(huì)讀取.config中原來的配置信息.
(二).給netfilter打補(bǔ)丁
解開tar xjvf patch-o-matic-ng-20050331.tar.bz2 包后,進(jìn)入該目錄,就會(huì)發(fā)現(xiàn)有很多目錄,其實(shí)每個(gè)目錄對(duì)應(yīng)一個(gè)模塊.
我們可以這樣來選擇,根據(jù)不同貯倉庫submitted|pending|base|extra,例如:
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme base .
或:KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme extra
執(zhí)行后,會(huì)測試是否已經(jīng)應(yīng)用和提示你是否應(yīng)用該模塊,但這樣會(huì)遍歷所有模塊,有很多是用不著的,并且可能和系統(tǒng)版本有沖突,如果不管三七二十一全部選擇的話,一般都會(huì)在編譯和使用時(shí)出錯(cuò).所以推薦用cat /模塊目錄名/info 和cat /模塊目錄名/help 看過后,認(rèn)為適合自己,才選擇.
我是針對(duì)在上面看過后,有目的的一個(gè)一個(gè)的應(yīng)用的,這樣做:
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme string
執(zhí)行后,會(huì)測試是否已經(jīng)應(yīng)用和提示你是否應(yīng)用該模塊,按"y"應(yīng)用.然后繼續(xù)下一個(gè)
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme comment
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme connlimit
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme time
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme iprange
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme geoip
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme nth
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme ipp2p
KERNEL_DIR=/usr/src/linux-2.4 IPTABLES_DIR=/usr/src/iptables-1.3.1 ./runme quota
上面全部完成后,
cd /usr/src/linux-2.4
make menuconfig，確認(rèn)
Prompt for development and/or incomplete code/drivers要選中
然后進(jìn)入Networking options
再進(jìn)入IP:Netfilter Configuration，會(huì)看到增加很多模塊，每個(gè)新增的后面都會(huì)出現(xiàn)"NEW",把其想要的選中為模塊"M"
保存、退出，至此，給netfilter打補(bǔ)丁工作完成
(三).編譯netfilter模塊
1.這里只需要編譯netfilter,不需要編譯整個(gè)內(nèi)核和模塊.這里我只需要ipv4的,ipv6我還沒用到,所以不管了
cd /usr/src/linux-2.4
make dep
make modules SUBDIRS=net/ipv4/netfilter
2.建立一個(gè)新目錄備份原來模塊,以防萬一:
mkdir /usr/src/netfilter
cp /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/*.o  /usr/src/netfilter/
3.應(yīng)用新的模塊
cp -f /usr/src/linux-2.4/net/ipv4/netfilter/*.o /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/
4.更新你的modules.dep
depmod -a
當(dāng)出現(xiàn)這個(gè)時(shí),可以不用理會(huì),因?yàn)閕pchains, ipfwadm模塊都沒用,也可以把出錯(cuò)的刪除.
depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipchains_core.o
depmod: *** Unresolved symbols in /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ipfwadm_core.o
(四).編譯安裝新的iptables
解壓后有目錄iptables-1.3.1
cd /usr/src/iptables-1.3.1
export KERNEL_DIR=/usr/src/linux-2.4
export IPTABLES_DIR=/usr/src/iptables-1.3.1
make BINDIR=/sbin LIBDIR=/lib MANDIR=/usr/share/man install
三.安裝完成,測試及應(yīng)用
1.內(nèi)容過濾
iptables -I FORWARD -m string --string "騰訊" -j DROP
iptables -I FORWARD -s 192.168.3.159 -m string --string "qq.com" -j DROP
iptables -I FORWARD -d 192.168.3.0/24 -m string --string "寬頻影院" -j DROP
iptables -I FORWARD -s 192.168.3.0/24 -m string --string "色情" -j DROP
iptables -I FORWARD -p tcp --sport 80 -m string --string "廣告" -j DROP
2.備注應(yīng)用
iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -j DROP -m comment --comment "the bad guy can not online"
iptables -I FORWARD -s 192.168.3.159 -m string --string "qq.com" -j DROP -m comment --comment "denny go to qq.com"
3.并發(fā)連接應(yīng)用
模塊 connlimit 作用:連接限制
--connlimit-above n 限制為多少個(gè)
--connlimit-mask n 這組主機(jī)的掩碼,默認(rèn)是connlimit-mask 32 ,即每ip.
這個(gè)主要可以限制內(nèi)網(wǎng)用戶的網(wǎng)絡(luò)使用,對(duì)服務(wù)器而言則可以限制每個(gè)ip發(fā)起的連接數(shù)...比較實(shí)用
例如:只允許每個(gè)ip同時(shí)5個(gè)80端口轉(zhuǎn)發(fā),超過的丟棄:
iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 5 -j DROP
例如:只允許每組ip同時(shí)10個(gè)80端口轉(zhuǎn)發(fā):
iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP
例如:為了防止DOS太多連接進(jìn)來,那么可以允許最多15個(gè)初始連接,超過的丟棄.
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
4.ip范圍應(yīng)用
iptables -A FORWARD -m iprange --src-range 192.168.1.5-192.168.1.124 -j ACCEPT
5.每隔N個(gè)匹配
iptables -t mangle -A PREROUTING -m nth --every 10 -j DROP
6.封殺BT類P2P軟件
iptables -A FORWARD -m ipp2p --edk --kazaa --bit -j DROP
iptables -A FORWARD -p tcp -m ipp2p --ares -j DROP
iptables -A FORWARD -p udp -m ipp2p --kazaa -j DROP
7.配額匹配
iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -m quota --quota 500 -j DROP
iptables -I FORWARD -s 192.168.3.159 -p tcp --dport 80 -m quota --quota 500 -j ACCEPT
以上均測試通過,只有g(shù)eoip的geoipdb.bin沒下載到,所以沒測試

上述內(nèi)容就是netfilter/iptables模塊編譯及如何應(yīng)用，你們學(xué)到知識(shí)或技能了嗎？如果還想學(xué)到更多技能或者豐富自己的知識(shí)儲(chǔ)備，歡迎關(guān)注億速云行業(yè)資訊頻道。