iptables防火墙详解及使用layer7阻止qq,酷狗,等P2P软件

#iptables -A    添加一条新规则

#iptables -I    插入一条新规则 -I 后面加一数字表示插入到哪行

#iptables -D    删除一条新规则 -D 后面加一数字表示删除哪行

#iptables -R    替换一条新规则 -R 后面加一数字表示替换哪行

#iptables -F    清空链中的所有规则

#iptables -N    新建一个链

#iptables -X    删除一个自定义链,删除之前要保证次链是空的,而且没有被引用

#iptables -E    重命名链

#iptables -P    设置默认策略

#iptables -L    查看规则 -L还有几个子选项如下

#iptables -L -n 以数字的方式显示

#iptables -L -v 显示详细信息

#iptables -L -x 显示精确信息

#iptables -L --line-numbers  显示行号

条件匹配也可以使用 ! 取反

-s    源地址

-d    目标地址

-p    协议{tcp|udp|icmp}

-i    从哪个网络接口进入,比如 -i eth0

-o    从哪个网络接口出去,比如 -o eth0

-p {tcp|udp} --sport   指定源端口

-p {tcp|udp} --dport   指定目标端口

-m state --state   匹配状态的

-m mutiport --source-port   端口匹配 ,指定一组端口

-m limit --limit 3/minute   每三分种一次

-m limit --limit-burst  5   只匹配5个数据包

-m string --string --algo bm|kmp --string "xxxx"  匹配字符串

-m time --timestart 8:00 --timestop 12:00  表示从哪个时间到哪个时间段

-m time --days    表示那天

-m mac --mac-source xx:xx:xx:xx:xx:xx 匹配源MAC地址

-m layer7 --l7proto qq   表示匹配腾讯qq的 当然也支持很多协议,这个默认是没有的,需要我们给内核打补丁并重新编译内核及iptables才可以使用 -m layer7 这个显示扩展匹配,  

-j ACCEPT     允许

-j REJECT     拒绝

-j DROP       拒绝并提示信息

-j SNAT       源地址转换

-j DNAT       目标地址转换

-j REDIRECT   重定向

-j MASQUERAED 地址伪装

-j LOG --log-prefix "说明信息,自己随便定义"      记录日志

#vim /ipt.sh

#!/bin/bash

# 2012,07,09

# andy_f

#定义变量

mynet=192.168.0.0/24

myip=192.168.0.100

IPT=/sbin/iptables

#加载ftp模块

modprobe ip_conntrack-ftp

modprobe ip_nat_ftp

#开启路由转发功能

echo "1" /proc/sys/net/ipv4/ip_forward

#清空所有表中的规则

$IPT -F

$IPT -t nat -F

$IPT -t mangle -F

#删除所有自定义链

$IPT -X

$IPT -t nat -X

$IPT -t mangle -X

#设置默认策略

$IPT -P INPUT DROP

$IPT -P OUTPUT DROP

$IPT -P FORWARD ACCEPT

#允许状态为ESTABLISHED,RELATED的访问本机,及状态为NEW的从本机出去

$IPT -A INOUT -m state --state ESTABLISHED,RELATED -j ACCEPT

#允许本地环回口访问

$IPT -A INPUT -i lo -j ACCEPT

$IPT -A OUTPUT -o lo -j ACCEPT

#允许管理员主机访问本地ssh服务

$IPT -A INPUT -s $myip -m state --state NEW -p tcp --dport 22 -j ACCEPT

$IPT -A OUTPUT -d $myip -p tcp --sport 22 -j ACCEPT

#允许局域网的ping请求

$IPT -A INPUT -s $mynet -p icmp --icmp-type 8 -j ACCEPT

$IPT -A OUTPUT -d $mynet -p icmp --icmp-type 0 -j ACCEPT

#为局域网做SNAT

$IPT -t nat -A POSTROUTING -s $mynet -j SNAT --to-source 172.16.100.1

#为局域网内部的web服务器做DNAT

$IPT -t nat -A PREROUTING -d 172.16.100.1 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.2

让下次开机自动加载脚本

#echo "/bin/bash /ipt.sh" >> /etc/rc.local

#yum -y groupinstall "Development Libraries" "Development Tools"

#yum -y install ncurses-devel

#cd /usr/scr

#tar xzvf linux-2.6.28.10.tar.gz  

#tar xavf netfilter-layer7-v2.22.tar.gz

#ln -s linux-2.6.28.10 linux

#cd /usr/src/linux

#patch -p1 <../netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch

#cp /boot/config-2.6.28-164.el5 /usr/src/linux/.config

#make menuconfig  执行之后会出现一个让用户选择内核模块的界面,进入相应的菜单,将下面的模块选上

Networking support -->>Networking Options -->>Network packet filtering framework -->>Core Netfilter Configuration

<M>  Netfilter connection tracking support  

<M>  “layer7” match support

<M>  “string” match support

<M>  “time”  match support

<M>  “iprange”  match support

<M>  “connlimit”  match support

<M>  “state”  match support

<M>  “conntrack”  connection  match support

<M>  “mac”  address  match support

<M>   "multiport" Multiple port match support

Networking support -->Networking Options -->Network packet filtering framework -->IP: Netfilter Configuration

<M> IPv4 connection tracking support (required for NAT)

<M>   Full NAT

<M>     MASQUERADE target support    

<M>     NETMAP target support                          

<M>     REDIRECT target support  

选择完成后保存退出,

#make

#make modules_install

#make install

编译完成后重启

#shutdown -r now

需要注意的是系统默认是启动原先的内核的,在开机的时候在grub界面选择启动新的内核

在卸载之前我们先把iptables的启动脚本及脚本配置文件拷贝到/目录下待会有用

#cp /etc/init.d/iptables /

#cp /etc/sysconfig/iptables-config /

卸载iptables

#rpm -e iptables-ipv6  iptables iptstate --nodeps

#cd /usr/src

#tar jxvf iptables-1.4.6.tar.bz2

#cd iptables-1.4.6

#cp ../netfilter-layer7-v2.22/iptables-1.4.3forward-for-kernel-2.6.20forward/libxt_layer7.* ./extensions/

#./configure --prefix=/usr --with-ksource=/usr/src/linux

#make

#make install

#cd /usr/src

#tar xzvf l7-protocols-2009-05-28.tar.gz

#cd l7-protocols-2009-05-28

#make install

首先将脚本跟配置文件复制到相应的目录然后再做修改  

#cp /iptables-config /etc/sysconfig/  

#cp /iptables /etc/init.d/  

#chmod a+x /etc/init.d/iptables  

#vim /etc/init.d/iptables 把所有/sbin/$IPTABLES替换为/usr/sbin/$IPTABLES   在vim命令模式下:%s@/sbin/$IPTABLES@/usr/sbin/$IPTABLES@g  然后保存退出,  

我们把修改后的/etc/init.d/iptables 脚本文件贴出来,如下  

#!/bin/sh

#

# iptables  Start iptables firewall

#

# chkconfig: 2345 08 92

# description:  Starts, stops and saves iptables firewall

#

# config: /etc/sysconfig/iptables

# config: /etc/sysconfig/iptables-config

# Source function library.

. /etc/init.d/functions

IPTABLES=iptables

IPTABLES_DATA=/etc/sysconfig/$IPTABLES

IPTABLES_CONFIG=/etc/sysconfig/${IPTABLES}-config

IPV=${IPTABLES%tables} # ip for ipv4 | ip6 for ipv6

PROC_IPTABLES_NAMES=/proc/net/${IPV}_tables_names

VAR_SUBSYS_IPTABLES=/var/lock/subsys/$IPTABLES

if [ ! -x /usr/sbin/$IPTABLES ]; then

   echo -n $"/usr/sbin/$IPTABLES does not exist."; warning; echo

   exit 0

fi

if lsmod 2>/dev/null | grep -q ipchains ; then

   echo -n $"ipchains and $IPTABLES can not be used together."; warning; echo

   exit 1

fi

# Old or new modutils

/sbin/modprobe --version 2>&1 | grep -q module-init-tools \

   && NEW_MODUTILS=1 \

   || NEW_MODUTILS=0

# Default firewall configuration:

IPTABLES_MODULES=""

IPTABLES_MODULES_UNLOAD="yes"

IPTABLES_SAVE_ON_STOP="no"

IPTABLES_SAVE_ON_RESTART="no"

IPTABLES_SAVE_COUNTER="no"

IPTABLES_STATUS_NUMERIC="yes"

IPTABLES_SYSCTL_LOAD_LIST=""

# Load firewall configuration.

[ -f "$IPTABLES_CONFIG" ] && . "$IPTABLES_CONFIG"

rmmod_r() {

   # Unload module with all referring modules.

   # At first all referring modules will be unloaded, then the module itself.

   local mod=$1

   local ret=0

   local ref=

   # Get referring modules.

   # New modutils have another output format.

   [ $NEW_MODUTILS = 1 ] \

   && ref=`lsmod | awk "/^${mod}/ { print \\\$4; }" | tr ',' ' '` \

   || ref=`lsmod | grep ^${mod} | cut -d "[" -s -f 2 | cut -d "]" -s -f 1`

   # recursive call for all referring modules

   for i in $ref; do

   rmmod_r $i

   let ret+=$?;

   done

   # Unload module.

   # The extra test is for 2.6: The module might have autocleaned,

   # after all referring modules are unloaded.

   if grep -q "^${mod}" /proc/modules ; then

   modprobe -r $mod > /dev/null 2>&1

   let ret+=$?;

   fi

   return $ret

}

flush_n_delete() {

   # Flush firewall rules and delete chains.

   [ -e "$PROC_IPTABLES_NAMES" ] || return 1

   # Check if firewall is configured (has tables)

tables=`cat $PROC_IPTABLES_NAMES 2>/dev/null`

   [ -z "$tables" ] && return 1

   echo -n $"Flushing firewall rules: "

ret=0

   # For all tables

   for i in $tables; do

       # Flush firewall rules.

   $IPTABLES -t $i -F;

   let ret+=$?;

       # Delete firewall chains.

   $IPTABLES -t $i -X;

   let ret+=$?;

   # Set counter to zero.

   $IPTABLES -t $i -Z;

   let ret+=$?;

   done

   [ $ret -eq 0 ] && success || failure

   echo

   return $ret

}

set_policy() {

   # Set policy for configured tables.

policy=$1

   # Check if iptable module is loaded

   [ ! -e "$PROC_IPTABLES_NAMES" ] && return 1

   # Check if firewall is configured (has tables)

tables=`cat $PROC_IPTABLES_NAMES 2>/dev/null`

   [ -z "$tables" ] && return 1

   echo -n $"Setting chains to policy $policy: "

ret=0

   for i in $tables; do

   echo -n "$i "

   case "$i" in

       raw)

       $IPTABLES -t raw -P PREROUTING $policy \

           && $IPTABLES -t raw -P OUTPUT $policy \

           || let ret+=1

       ;;

       filter)

               $IPTABLES -t filter -P INPUT $policy \

           && $IPTABLES -t filter -P OUTPUT $policy \

           && $IPTABLES -t filter -P FORWARD $policy \

           || let ret+=1

       ;;

       nat)

       $IPTABLES -t nat -P PREROUTING $policy \

           && $IPTABLES -t nat -P POSTROUTING $policy \

           && $IPTABLES -t nat -P OUTPUT $policy \

           || let ret+=1

       ;;

       mangle)

           $IPTABLES -t mangle -P PREROUTING $policy \

           && $IPTABLES -t mangle -P POSTROUTING $policy \

           && $IPTABLES -t mangle -P INPUT $policy \

           && $IPTABLES -t mangle -P OUTPUT $policy \

           && $IPTABLES -t mangle -P FORWARD $policy \

           || let ret+=1

       ;;

       *)

           let ret+=1

       ;;

       esac

   done

   [ $ret -eq 0 ] && success || failure

   echo

   return $ret

}

load_sysctl() {

   # load matched sysctl values

   if [ -n "$IPTABLES_SYSCTL_LOAD_LIST" ]; then

       echo -n $"Loading sysctl settings: "

ret=0

       for item in $IPTABLES_SYSCTL_LOAD_LIST; do

           fgrep $item /etc/sysctl.conf | sysctl -p - >/dev/null

           let ret+=$?;

       done

       [ $ret -eq 0 ] && success || failure

       echo

   fi

   return $ret

}

start() {

   # Do not start if there is no config file.

   [ -f "$IPTABLES_DATA" ] || return 1

   echo -n $"Applying $IPTABLES firewall rules: "

OPT=

   [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"

   $IPTABLES-restore $OPT $IPTABLES_DATA

   if [ $? -eq 0 ]; then

   success; echo

   else

   failure; echo; return 1

   fi

   # Load additional modules (helpers)

   if [ -n "$IPTABLES_MODULES" ]; then

   echo -n $"Loading additional $IPTABLES modules: "

ret=0

   for mod in $IPTABLES_MODULES; do

       echo -n "$mod "

       modprobe $mod > /dev/null 2>&1

       let ret+=$?;

   done

   [ $ret -eq 0 ] && success || failure

   echo

   fi

   # Load sysctl settings

   load_sysctl

   touch $VAR_SUBSYS_IPTABLES

   return $ret

}

stop() {

   # Do not stop if iptables module is not loaded.

   [ -e "$PROC_IPTABLES_NAMES" ] || return 1

   flush_n_delete

   set_policy ACCEPT

   if [ "x$IPTABLES_MODULES_UNLOAD" = "xyes" ]; then

   echo -n $"Unloading $IPTABLES modules: "

ret=0

   rmmod_r ${IPV}_tables

   let ret+=$?;

   rmmod_r ${IPV}_conntrack

   let ret+=$?;

   [ $ret -eq 0 ] && success || failure

   echo

   fi

   rm -f $VAR_SUBSYS_IPTABLES

   return $ret

}

save() {

   # Check if iptable module is loaded

   [ ! -e "$PROC_IPTABLES_NAMES" ] && return 1

   # Check if firewall is configured (has tables)

tables=`cat $PROC_IPTABLES_NAMES 2>/dev/null`

   [ -z "$tables" ] && return 1

   echo -n $"Saving firewall rules to $IPTABLES_DATA: "

OPT=

   [ "x$IPTABLES_SAVE_COUNTER" = "xyes" ] && OPT="-c"

ret=0

TMP_FILE=`/bin/mktemp -q /tmp/$IPTABLES.XXXXXX` \

   && chmod 600 "$TMP_FILE" \

   && $IPTABLES-save $OPT > $TMP_FILE 2>/dev/null \

   && size=`stat -c '%s' $TMP_FILE` && [ $size -gt 0 ] \

   || ret=1

   if [ $ret -eq 0 ]; then

   if [ -e $IPTABLES_DATA ]; then

       cp -f $IPTABLES_DATA $IPTABLES_DATA.save \

       && chmod 600 $IPTABLES_DATA.save \

       || ret=1

   fi

   if [ $ret -eq 0 ]; then

       cp -f $TMP_FILE $IPTABLES_DATA \

       && chmod 600 $IPTABLES_DATA \

           || ret=1

   fi

   fi

   [ $ret -eq 0 ] && success || failure

   echo

   rm -f $TMP_FILE

   return $ret

}

status() {

tables=`cat $PROC_IPTABLES_NAMES 2>/dev/null`

   # Do not print status if lockfile is missing and iptables modules are not  

   # loaded.

   # Check if iptable module is loaded

   if [ ! -f "$VAR_SUBSYS_IPTABLES" -a -z "$tables" ]; then

   echo $"Firewall is stopped."

   return 1

   fi

   # Check if firewall is configured (has tables)

   if [ ! -e "$PROC_IPTABLES_NAMES" ]; then

   echo $"Firewall is not configured. "

   return 1

   fi

   if [ -z "$tables" ]; then

   echo $"Firewall is not configured. "

   return 1

   fi

NUM=

   [ "x$IPTABLES_STATUS_NUMERIC" = "xyes" ] && NUM="-n"

VERBOSE=  

   [ "x$IPTABLES_STATUS_VERBOSE" = "xyes" ] && VERBOSE="--verbose"

COUNT=

   [ "x$IPTABLES_STATUS_LINENUMBERS" = "xyes" ] && COUNT="--line-numbers"

   for table in $tables; do

   echo $"Table: $table"

   $IPTABLES -t $table --list $NUM $VERBOSE $COUNT && echo

   done

   return 0

}

reload() {

IPTABLES_MODULES_UNLOAD="no"

   restart

}

restart() {

   [ "x$IPTABLES_SAVE_ON_RESTART" = "xyes" ] && save

   stop

   start

}

case "$1" in

   start)

   stop

   start

RETVAL=$?

   ;;

   stop)

   [ "x$IPTABLES_SAVE_ON_STOP" = "xyes" ] && save

   stop

RETVAL=$?

   ;;

   reload)

   [ -e "$VAR_SUBSYS_IPTABLES" ] && reload

   ;;  

   restart)

   restart

RETVAL=$?

   ;;

   condrestart)

   [ -e "$VAR_SUBSYS_IPTABLES" ] && restart

   ;;

   status)

   status

RETVAL=$?

   ;;

   panic)

   flush_n_delete

   set_policy DROP

RETVAL=$?

       ;;

   save)

   save

RETVAL=$?

   ;;

   *)

   echo $"Usage: $0 {start|stop|reload|restart|condrestart|status|panic|save}"

   exit 1

   ;;

esac

exit $RETVAL

#service iptables restart

假如本机是一个网关的情况下

封QQ

#iptables -A FORWARD -s 192.168.0.0/24 -m layer7 --l7proto qq -j DROP

封酷狗

#iptables -A FORWARD -s 192.168.0.0/24 -m layer7 --l7proto kugoo -j DROP

封迅雷

#iptables -A FORWARD -s 192.168.0.0/24 -m layer7 --l7proto xunlei -j DROP

#ls /etc/l7-protocols/protocols/  只要里面有的都可以封杀,使用方法跟上面的一样,将其目录中对应文件的后缀名去掉,

比如说,此目录里有个pplive.pat 的文件,想实现封杀pplive的方法如下

#iptables -A FORWARD -s 192.168.0.0/24 -m layer7 --l7proto pplive -j DROP