Chinaunix首页 | 论坛 | 博客
  • 博客访问: 145386
  • 博文数量: 16
  • 博客积分: 0
  • 博客等级: 民兵
  • 技术积分: 1229
  • 用 户 组: 普通用户
  • 注册时间: 2014-04-02 23:30
文章分类
文章存档

2014年(16)

我的朋友

分类: LINUX

2014-04-19 13:14:07


前提介绍:
        我们有时候在公司需要限制员工的上网,如:QQ、迅雷、MSN、P2P等一些比较常见的协议,那么如果要是简单的配置下,可以装一台Linux服务器,配置好防火墙策略及安装好l7(补丁包)的配合使用,做好安装之后,我们就可以配置规则来限制公司的员工上网限制,这里简单的介绍下,具体的还需要看文章中配置:


一、安装包:netfilter-layer7-v2.22.tar.gz
1、解压:

22、查看内核版本: uname -r

3、目前来说CentOS6.5这个版本与
netfilter-layer7-v2.22版本有差别,所以这个不适合了,我们要用时一下的安装补丁包来实现:

二、将准备好的补丁包解压:
1、解压补丁包:
2、特别提醒:
3、那么如何来限定应用程序的使用呢?比如说 QQ , 下面就来一起看一下吧?

三、安装配置及步骤:
1、获取并编译内核
2、给内核打补丁:
1).复制config配置文件为模板:


2).打补丁,如下图:

3、编译并安装内核


2).为了方便使用安装screen工具:


3).编译/模块/安装内核:

注意: make install 时要是报错不用管,这是由于我们之前不是把那个声卡驱动没有勾选的结果;注意一下就可以;


4、重启系统,启用新内核 :
1).编辑下grub.conf配置文件:


2).最后重新启动系统:


3).重启时候按e键选择自定义的那个内核并且进入:

4).进入系统后查看内核版本:

5、编译iptables :
准备好安装包:
iptables-1.4.20.tar.bz2 
l7-protocols-2009-05-28.tar.gz 
1).解压iptables包且复制文件:


2).在卸载之前,先停止iptables:


3).在卸载之前先做备份工作:


4).卸载iptables:


5).编译安装iptables:


6).将之前备份的文件复制至源目录:


7)查看iptables的版本:

8).配置脚本后:
[root@xiaoma ~]# vim /etc/rc.d/init.d/iptables

9).先查看状态/重启iptables服务:

6、为layer7模块提供其所识别的协议的特征码:
1).解压并且安装:


2).简单查看几个协议(应用程序):

7、如何使用layer7模块?
1).ACCT的功能已经可以在内核参数中按需启用或禁用。此参数需要装载nf_conntrack模块后方能生效。

2)查看是否存在nf_conntrack模块:


8.配置网络:
1).防火墙配置地址为:

2).WinXP配置地址为:

3).Win XP路由配置:

开始->运行->输入cmd->添加如下内容:

C:\Users\Administrator>route add 192.168.10.0 MASK 255.255.255.0 172.16.17.201


9.配置规则实现WinXP 能够上网:
1)配置SNAT实现WinXP上网:


2).设置规则,过滤qq使其不能登录:


3).WinXP测试登录QQ-->注意这时候你如果是之前登录过,就已经建立连接,这是你就需要重启机器,等会儿在登录QQ,就会生效的:

4).这时候已经匹配到报文,请看:


5).如果这时候还不行,你就在限制http服务试一试?


6).这时候http已生效,网页已经打不开了(之所以这么快就匹配到了,是因为http协议时无状态的).

7).注意事项:


10. 记录日志:
1).格式:
-j LOG 
    --log-prefix "":指定日志前缀信息
注意:如果同样的内容要做过滤,日志规则一定放在过滤规则之前。
例子:


2).查看qq的访问日志:


3).指定日志前缀:

4).查看qq的访问日志:


==> 你也快点动手时试一试吧!看好你吆...


Welcome to xiaomazi Blogger!!!
阅读(5048) | 评论(0) | 转发(2) |
给主人留下些什么吧!~~