IPTABLES防火墙&&Layer7应用层过滤策略

案例需求

——公司最近发现有很多员工在工作期间使用QQ、MSN等工具聊天，严重影响工作效率。为了加强工作纪律管理，公司采取了一些行政手段禁止员工采用类似工具私自聊天，同时要求网络管理员在网关服务器上做相应的技术封锁。由于使用IP地址和端口号过滤的方式灵活性较差，需要为netfilter/iptables体系增加Layer7补丁，以更便于对员工的应用层访问进行控制

需求描述

重新编译Linux内核，添加l7-filter应用层过滤补丁

重新编译iptables，添加l7-filter应用层过滤补丁

设置过滤规则，禁止使用QQ、MSN等聊天工具

设置过滤规则，禁止使用BT、电驴等下载工具

实现思路

1. 解压释放netfilter-layer7和Linux内核源码包，使用patch工具合并补丁文件

2. 重新配置内核编译参数，添加state机制及layer7支持

附：

在配置界面中的操作

方向键á、a、?、à用于定位功能项、菜单项

菜单项 <Select>、<Exit>、<Help>

空格键用于选择配置类型

对不同功能的配置选择

[ ]：空选时表示不需要在新内核中使用该功能

[ M ]：表示将此项功能编译为模块，以便在需要时加载

[ * ]：将此项功能直接编入新内核，作为新内核的一部分

A. Code Netfilter Configuration 网络过滤代码配置

B. IP: Netfilter Configuration IP包过滤功能配置

3. 编译新内核，并安装新内核文件、复制模块文件(编译（make）的过程耗时有点儿长啊)

4. 调整GRUB引导菜单，使系统默认以新内核启动，然后重启主机（因默认仍然以老的内核启动系统）

5. 卸载系统原有的iptables相关软件包

6. 解压释放iptables源码包，并应用补丁文件(复制到extensions子目录即可)

7. 配置、编译并安装iptables，需使用”—with-ksource”参数指定内核源码路径

8. 安装L7-protocols协议定义包

9. 使用iptables设置应用层过滤功能（这里我编写了一个Shell脚本，便于移植）

注意事项

为了节省编译时间，可直接从“make modules_install”步骤开始即可

注意选择的layer7补丁文件要与内核、iptables的版本相匹配

附：layer7应用层过滤功能

默认 netfilter/iptables 体系的不足

以基于网络层的数据包过滤机制为主，同时提供少量的传输层、数据链路层的过滤功能

难以判断数据包对应于何种应用程序（如QQ、MSN）

netfilter-layer7 补丁包的作用

由“L7-filter”项目提供

源码站点位于 http://l7-filter.sourceforge.net

通过为Linux内核、iptables添加相应的补丁文件，重新编译安装后提供基于应用层（第7层）的扩展功能

通过独立的 l7-protocols 协议包提供对各种应用层数据的特征识别定义，便于更新

使用的软件包列表

Linux内核源码包：linux-2.6.28.8.tar.bz2

iptables源码包：iptables-1.4.2.tar.bz2

layer7补丁源码包：netfilter-layer7-v2.21.tar.gz

协议定义包：l7-protocols-2009-05-10.tar.gz

pdf资料下载: http://down.51cto.com/data/102033