基于layer7应用层过滤配置解析

3re222

前提介绍:
        我们有时候在公司需要限制员工的上网，如：QQ、迅雷、MSN、P2P等一些比较常见的协议，那么如果要是简单的配置下，可以装一台Linux服务器，配置好防火墙策略及安装好l7（补丁包）的配合使用，做好安装之后，我们就可以配置规则来限制公司的员工上网限制，这里简单的介绍下，具体的还需要看文章中配置：

---

一、安装包:netfilter-layer7-v2.22.tar.gz
1、解压:

22、查看内核版本: uname -r

3、目前来说CentOS6.5这个版本与netfilter-layer7-v2.22版本有差别,所以这个不适合了,我们要用时一下的安装补丁包来实现:

二、将准备好的补丁包解压:
1、解压补丁包：

2、特别提醒:

3、那么如何来限定应用程序的使用呢?比如说 QQ , 下面就来一起看一下吧?

三、安装配置及步骤:
1、获取并编译内核

2、给内核打补丁:
1).复制config配置文件为模板:



2).打补丁,如下图:

3、编译并安装内核



2).为了方便使用安装screen工具:


3).编译/模块/安装内核:



注意: make install 时要是报错不用管,这是由于我们之前不是把那个声卡驱动没有勾选的结果;注意一下就可以;


4、重启系统，启用新内核 :
1).编辑下grub.conf配置文件:



2).最后重新启动系统:


3).重启时候按e键选择自定义的那个内核并且进入:

4).进入系统后查看内核版本:


5、编译iptables :
准备好安装包:

iptables-1.4.20.tar.bz2
l7-protocols-2009-05-28.tar.gz

1).解压iptables包且复制文件:


2).在卸载之前,先停止iptables:


3).在卸载之前先做备份工作:


4).卸载iptables:



5).编译安装iptables:


6).将之前备份的文件复制至源目录:


7)查看iptables的版本:


8).配置脚本后:
[iyunv@xiaoma ~]# vim /etc/rc.d/init.d/iptables



9).先查看状态/重启iptables服务:

6、为layer7模块提供其所识别的协议的特征码:
1).解压并且安装:


2).简单查看几个协议(应用程序):


7、如何使用layer7模块?
1).ACCT的功能已经可以在内核参数中按需启用或禁用。此参数需要装载nf_conntrack模块后方能生效。


2）查看是否存在nf_conntrack模块：


8.配置网络:
1).防火墙配置地址为:

2).WinXP配置地址为:

3).Win XP路由配置:

开始->运行->输入cmd->添加如下内容:

C:UsersAdministrator>route add 192.168.10.0 MASK 255.255.255.0 172.16.17.201

9.配置规则实现WinXP 能够上网:
1)配置SNAT实现WinXP上网:



2).设置规则,过滤qq使其不能登录:



3).WinXP测试登录QQ-->注意这时候你如果是之前登录过,就已经建立连接,这是你就需要重启机器,等会儿在登录QQ,就会生效的:

4).这时候已经匹配到报文,请看:


5).如果这时候还不行,你就在限制http服务试一试?



6).这时候http已生效,网页已经打不开了(之所以这么快就匹配到了,是因为http协议时无状态的).

7).注意事项:



10. 记录日志:
1).格式:

-j LOG
    --log-prefix ""：指定日志前缀信息

注意：如果同样的内容要做过滤，日志规则一定放在过滤规则之前。
例子:



2).查看qq的访问日志:



3).指定日志前缀:


4).查看qq的访问日志:



==> 你也快点动手时试一试吧！看好你吆...