|
感謝 study-area 站長 Netman 網中人提供資料
原文出處:
觀念解說:
本程式是透過 iptables 指令導引至 kernal 做 l7 filter 分析,
不如說是行為特徵比對.舉例來說一般為了想讓公司內部的員工禁用 IM
軟體如 MSN 但往往只能針對連線 Server & port
做封鎖,但此軟體又會
嘗試走 proxy 方式做連線,讓能防不勝防!如今打造此核心程式後就能迎
刃而解!為何如此說?因該程式會讓第一個封包產生
ESTABLISHED 之後就
Drop 掉以後封包讓該程式無法再轉由 proxy 做連線.
所有要做特徵比對參考檔案皆位在
/etc/l7-protocols/protocols
目錄下,只要在命令內加入如此 --l7proto msnmessenger 就開始做分析!
我 OS 環境:
Redhat 9.0
Kernel: 2.4.20-42.9.legacy
iptables:
1.2.11
技 巧︰
1﹒抓的是 bz2 的壓縮﹐所以用 j 參數﹐
抓的是 gz 格式﹐ 就用 z 參數。
2﹒可藉由 yum update 參數更新至上述核心!或者手動方式自行下載
3﹒在移除舊版 iptables 時記得先行備份此檔 /etc/init.d/iptables
再執行
yum remove iptables
4﹒由於 fro_older_kernels\kernel-2.4-layer7-0.9.1.patch 此檔，
是針對 linux-2.4.26-stock 做 patch ,而我的核心碼確非該版故
只能手動修改相關檔案位置插入要新增程式碼!如以下所述。
5﹒定期更新 Protocol definitions 檔案即可!位置如下:
6﹒kernel
在 2.4.20-28.9 以後版本 QOS 已支援 HBT Function，只要重編
核心選取即可。差意點在與 iprouter2 元件中 tc
指令並不支援，
故 Redhat 9 必須 update 該套件才能用。(套件名稱如後所指！)
而 tc 一般在設計上只能針對單一 device
做設定，而往往申請 ADSL
皆是非對稱式，故在使用上︰將下載設為對內網卡(本例為 eth0)，
上行設為對外網卡(本例為 eth1)。
7﹒在實例應用︰預設禁止使用 msn，只開放少數人使用。
其語法不能如此下︰
#iptables -t mangle -A
POSTROUTING -m layer7 --l7proto msnmessenger -j DROP
結果是︰所有封包皆以啟動核心比對!因用
iptables -L -n 或者 iptables -t nat -L
查看發現它不會顯示在 rule 內，以至於在下任何 iptables
指令皆無效!正確做法如
下所述 案例二方式，誤犯我相同錯誤觀念:-)
8﹒
從 下載核心
patch-o-matic-20030912.tar.bz2 包
就可以新增如下 Function 給予參考！
./runme
base/iprange.patch
說明如下:
---------------------------------------------------------------------
Each patch is a new feature: many have minimal impact, some do not.
Almost every one has bugs, so I don't recommend applying them all!
-------------------------------------------------------
Testing...
iprange.patch NOT APPLIED (2 missing files)
The base/iprange patch:
Author: Jozsef Kadlecsik
Status: Works
This patch makes possible to match
source/destination IP
addresses against inclusive IP address ranges.
Examples.
iptables -A FORWARD -m iprange --src-range
192.168.1.5-192.168.1.124 -j ACCEPT
iptables -A FORWARD -m iprange
--dst-range 10.0.0.0-10.5.255.255.255 -j ACCEPT
---------------------------------------------------------------------
～正式開始︰～
------------------------------------------------------------------------
～可先做此步驟︰
[root@linux2005 temp]# gunzip
l7-protocols-2005-02-06.tar.gz
[root@linux2005 temp]# tar -xvf
l7-protocols-2005-02-06.tar
[root@linux2005 l7-protocols-2005-02-06]# make
install
內容說明︰
all:
@echo Nothing to compile, just run \'make
install\'
@echo \(This just copies this directory into
$(PREFIX)/etc/l7-protocols \)
install:
mkdir -p
$(PREFIX)/etc/l7-protocols
cp -R * $(PREFIX)/etc/l7-protocols
～修正核心 patch
1、先解壓縮並做 kernel & iptables path
[root@linux2005 temp]# gunzip netfilter-layer7-v1.0.tar.gz
[root@linux2005 temp]# tar -xvf netfilter-layer7-v1.0.tar
[root@linux2005 temp]# cd netfilter-layer7-v1.0
[root@linux2005
netfilter-layer7-v1.0]# cd for_older_kernels/
[root@linux2005
for_older_kernels]# cp kernel-2.4-layer7-0.9.1.patch /usr/src/.
手動編修下列檔案修改內容，參考 kernel-2.4-layer7-0.9.1.patch
linux-2.4.26-stock/Documentation/Configure.help
linux-2.4.26-stock/include/linux/netfilter_ipv4/ip_conntrack.h
linux-2.4.26-stock/include/linux/netfilter_ipv4/ipt_layer7.h
linux-2.4.26-stock/net/ipv4/netfilter/Config.in
linux-2.4.26-stock/net/ipv4/netfilter/Makefile
linux-2.4.26-stock/net/ipv4/netfilter/ip_conntrack_core.c
linux-2.4.26-stock/net/ipv4/netfilter/ip_conntrack_standalone.c
linux-2.4.26-stock/net/ipv4/netfilter/ipt_layer7.c
～ mkdir regexp 目錄
linux-2.4.26-stock/net/ipv4/netfilter/regexp/regexp.c
linux-2.4.26-stock/net/ipv4/netfilter/regexp/regexp.h
linux-2.4.26-stock/net/ipv4/netfilter/regexp/regmagic.h
linux-2.4.26-stock/net/ipv4/netfilter/regexp/regsub.c
2、
[root@linux2005 src]# pwd
/usr/src
[root@linux2005 src]# ln -sf
linux-2.4.20-42.9.legacy linux
3、開始核心編譯
[root@linux2005 linux-2.4]#
pwd
/usr/src/linux-2.4
[root@linux2005 linux-2.4]# make mrproper <--
去除 .o 的編譯過的檔案
相同版本核心編譯可借用原始 .config 設定檔︰
[root@linux2005 linux-2.4]#
cp /boot/config-2.4.20-42.9.legacy /usr/src/linux-2.4/.config
[root@linux2005 linux-2.4]# make oldconfig
...
會顯現新的選項:
Layer 7 match support
(EXPERIMENTAL) (CONFIG_IP_NF_MATCH_LAYER7) [N/m/?] (NEW) m
Layer 7 debugging
output (EXPERIMENTAL) (CONFIG_IP_NF_MATCH_LAYER7_DEBUG) [N/y/?] (NEW) y
Buffer size for application layer data (256-65536)
(CONFIG_IP_NF_MATCH_LAYER7_MAXDATALEN) [2048] (NEW) 2048
...
*** End of
Linux kernel configuration.
*** Check the top-level Makefile for additional
configuration.
*** Next, you must run 'make dep'.
核心重新選取︰
[root@linux2005 linux-2.4]# make menuconfig
[root@linux2005
linux-2.4]# make clean <-- 新的核心才需執行!
或者
[root@linux2005 linux-2.4]#
make dep <-- 相同核心執行此步驟
!!重要!!
若使用 make dep 方式原有 /lib/modules
目錄下核心目錄不能
移除或更名!
---------------------------------------------------------
#make bzImage
<--開始編譯核心!這個步驟很長,因核心是經過壓縮
放置位址
/usr/src/linux-2.4.20-20.7/arch/i386/boot/bzImage
#make modules
<--開始編譯模組!
#make modules_install <--將模組資料安裝在 /lib/modules/'uname -r'
裡面
#make install <--將剛 bzimage 建立完成核心給他安裝上來!
4、
編修開機檔
[root@linux2005 linux]# cd /boot/grub
[root@linux2005 grub]# vi
grub.conf
....
default=0
timeout=5
title Red Hat Linux
(2.4.20-42.9.legacycustom)
root (hd0,0)
kernel
/vmlinuz-2.4.20-42.9.legacycustom ro root=LABEL=/
initrd
/initrd-2.4.20-42.9.legacycustom.img
～ Ipatbles Patch
[root@linux2005 src]# pwd
/usr/local/src
[root@linux2005 src]# tar
-jxvf iptables-1.2.11.tar.bz2
[root@linux2005 src]# cp
/temp/netfilter-layer7-v1.0/iptables-layer7-1.0.patch .
[root@linux2005
src]# patch -p1 < iptables-layer7-1.0.patch
patching file
extensions/.layer7-test
patching file extensions/libipt_layer7.c
patching file extensions/libipt_layer7.man
[root@linux2005
extensions]# pwd
/usr/local/src/iptables-1.2.11/extensions
[root@linux2005 extensions]# cp /usr/local/src/extensions/* .
[root@linux2005 extensions]# cp /usr/local/src/extensions/.layer7-test .
[root@linux2005 extensions]# chmod 755 .layer7-test
[root@linux2005 src]# cd iptables-1.2.11/
附註:
需重編核心要執行下列步驟︰
[root@linux2005 iptables-1.2.11]# pwd
/usr/local/src/iptables-1.2.11
[root@linux2005 iptables-1.2.11]# make clean
正常方式︰
[root@linux2005 iptables-1.2.11]# make KERNEL_DIR= /usr/src/linux-2.4
[root@linux2005 iptables-1.2.11]# make install KERNEL_DIR=
/usr/src/linux-2.4
安裝完後，要確認下列目錄有此檔案︰
iptables v1.2.11: Couldn't load match
`layer7':/usr/local/lib/iptables/libipt_layer7.so
_使用方式︰
QoS to
filter
iptables -t mangle -A POSTROUTING -m layer7 --l7proto imap -j MARK
--set-mark 3
The number "3" is arbitrary. It can be any unsigned 32-bit
integer. Then you can use tc
tc filter add dev eth0 protocol ip parent 1:0
prio 1 handle 3 fw flowid 1:3
當下此命令是所有 http protocol 皆被拒絕掉!
[root@linux2005 /]# iptables -t mangle -A POSTROUTING -m layer7 --l7proto
http -j DROP
～ iptables 掛為 Deamon 模式
[root@linux2005 init.d]#
chkconfig -h
chkconfig version 1.3.8 - Copyright (C) 1997-2000 Red Hat, Inc.
This may be freely redistributed under the terms of the GNU Public License.
usage: chkconfig --list [name]
chkconfig --add
chkconfig --del
chkconfig [--level ]
)
[root@linux2005 init.d]# pwd
/etc/init.d
[root@linux2005 init.d]# chkconfig --add iptables
[root@linux2005 init.d]# chkconfig --level 3 iptables on
[root@linux2005 init.d]# locate iptables |more
/usr/local/sbin/iptables
/usr/local/sbin/iptables-save
/usr/local/sbin/iptables-restore
[root@linux2005 init.d]# cp
/usr/local/sbin/iptables /sbin/.
因為 /etc/init.d/iptables 內定義執行程式是在 /sbin 目錄內
～ QOS __ HTTB
[root@linux2005 temp]# rpm -Uvh
iproute-2.4.7-7.90.1.htb.i386.rpm
Preparing...
########################################### [100%]
1:iproute
########################################### [100%]
主要更新 iptables 內 tc 套件能支援
htb 模組.
[root@linux2005 rc.d]# ./hbt_ebt
QOS 查驗方式︰
# tc -s
-d qdisc show dev eth1
# tc -s -d class show dev eth1
[root@linux2005 rc.d]# tc -s -d qdisc show dev eth1
qdisc sfq 8004:
quantum 1514b limit 128p flows 128/1024 perturb 10sec
Sent 0 bytes 0 pkts
(dropped 0, overlimits 0)
qdisc sfq 8003: quantum 1514b limit 128p flows
128/1024 perturb 10sec
Sent 0 bytes 0 pkts (dropped 0, overlimits 0)
qdisc htb 3: r2q 10 default 3 direct_packets_stat 0 ver 3.10
Sent 0
bytes 0 pkts (dropped 0, overlimits 0)
[root@linux2005 rc.d]#
[root@linux2005 rc.d]# tc -s -d class show dev eth1
class htb
3:1 root rate 960Kbit ceil 1Mbit burst 2827b/8 mpu 0b cburst 2909b/8 mpu 0b
level 7
Sent 0 bytes 0 pkts (dropped 0, overlimits 0)
lended: 0
borrowed: 0 giants: 0
tokens: 18853 ctokens: 18187
class htb 3:2
parent 3:1 leaf 8003: prio 0 quantum 8192 rate 640Kbit ceil 1Mbit burst 2418b/8
mpu 0b cburst 2909b/8 mpu 0b level 0
Sent 0 bytes 0 pkts (dropped 0,
overlimits 0)
lended: 0 borrowed: 0 giants: 0
tokens: 24189 ctokens:
18187
class htb 3:3 parent 3:1 leaf 8004: prio 0 quantum 4096 rate
320Kbit ceil 512Kbit burst 2008b/8 mpu 0b cburst 2254b/8 mpu 0b level 0
Sent
0 bytes 0 pkts (dropped 0, overlimits 0)
lended: 0 borrowed: 0 giants: 0
tokens: 40179 ctokens: 28187
[root@linux2005 rc.d]#
_案例一︰透過 l7_filter 轉至 QOS (鎖住下載對內網卡 eth0) 執行方法︰
[root@linux2005 rc.d]# iptables -t mangle -A POSTROUTING -m layer7
--l7proto http -j MARK --set-mark 3
[root@linux2005 rc.d]# tc filter add dev
eth0 protocol ip parent 3:1 prio 1 handle 3 fw flowid 3:3
結 果:
當導入
Qos 頻寬管理後包含在 IE 網頁上直接下載 .exe 檔案皆會被限頻在你
所定規則內,本例是導入 classid 3:3 規則頻寬則設限為 20
KB/秒 範圍內.
～ HBT_EBT 定義內容如下︰
DEV_1="eth0"
EXT_IF="97.24.2.250"
# Up:_128 Kbps For DEV_1 InterNet eth2
#
---------------------------------------------------------------------------
# 128 KByte x 8 = 1024 Kbit
tc qdisc del root dev $DEV_1
tc
qdisc add dev $DEV_1 root handle 3:0 htb default 3
tc class add dev $DEV_1
parent 3:0 classid 3:1 htb rate 960kbit ceil 1024kbit
#
tc class add
dev $DEV_1 parent 3:1 classid 3:2 htb rate 640kbit ceil 1024kbit
tc class
add dev $DEV_1 parent 3:1 classid 3:3 htb rate 160kbit ceil 160kbit
_案例二︰限制單一 IP 97.24.2.22 使用 MSN 軟體
iptables -s 97.24.2.22 -t
mangle -A POSTROUTING -m layer7 --l7proto msnmessenger -j DROP
﹒倘若規則成立則
Linux 主機上會顯示如下訊息︰
→ layer7: regexec positive: msnmessenger!
﹒也可由
/var/log/messages 檔案 log 內容得知！
Q&A:
1、重開機啟動後檢查 layer7
module 有無載入？如有！應出現如下訊息。
[root@linux2005 /]# lsmod
Module Size Used
by Not tainted
cls_fw 3480 1 (autoclean)
ipt_MARK 1432 1 (autoclean)
ipt_layer7 11260 1 (autoclean)
...
ip_conntrack 27016 2 [ipt_layer7
ipt_MASQUERADE ip_conntrack_ftp ip_nat_ftp iptable_nat]
ip_tables 14648 8
[ipt_MARK ipt_layer7 ipt_MASQUERADE iptable_mangle iptable_filter iptable_nat]
...
2、By default, l7-filter looks at the first 8 packets or 2kB,
whichever is
smaller. You can alter the number of packets through
/proc/net/layer7_numpackets. i.e. "echo "12" >
/proc/net/layer7_numpackets".
如編譯完在 /proc/net 目錄下無此 layer7_numpackets
檔案,而又需此功能！
_作者回覆︰
Well, I have no idea why you aren't getting the
proc file. Perhaps it is
because you are using a Redhat kernel and one of
their patches breaks it.
If you really need a higher numpackets, you can
modify the default value
in linux/net/ipv4/netfilter/ipt_layer7.c,
recompile, reinstall.
Near the top:
static int num_packets =
8;
|
