iptables作为路由器实现上网和访问控制

  • A+
所属分类:Linux

作为公司上网的路由器需要实现的功能有nat地址转换、dhcp、dns缓存、流量控制、应用程序控制,nat地址转换通过iptables可以直 接实现,dhcp服务需要安装dhcpd,dns缓存功能需要使用bind,流量控制可以使用tc,应用程序控制:例如对qq的封锁可以使用 netfilter-layer7-v2.22+17-protocols-2009-05-28.tar.gz来实现

1、网络规划

iptables

操作系统是centos5.8

 

2、安装dhcpd

 

iptables

3、安装bind,实现dns缓存

创建根域文件,默认有

创建本地正向解析文件,默认有

创建本地反向解析文件,默认有

检查主配置文件
named-checkconf
检查根区域配置文件
named-checkzone “.” /var/named/named.ca
检查区域文件
named-checkzone “localhost” /var/named/named.localhost
启动服务
service named start

 

4、重新编译编译内核和iptables以支持应用层过滤

由于实行防火墙功能的是netfilter内核模块,所以需要重新编译内核,需要下载新的内核源码,并使用netfilter-layer7-v2.22作为内核的补丁一起编译到内核中。而控制netfiler的是iptables工具,因此iptables也必须重新编译安装,最后再安装应用程序过滤特征码库17-protocols-2009-05028.tar.gz

1、给内核打补丁,并重新编译内核
2、给iptables源码打补丁,并重新编译iptables
3、安装17proto

备份iptables脚本和配置文件

2.6内核下载地址

https://www.kernel.org/pub/linux/kernel/v2.6/

netfilter下载地址

http://download.clearfoundation.com/l7-filter/

iptables源码下载地址

http://www.netfilter.org/projects/iptables/downloads.html

应用程序特征码库下载地址

http://download.clearfoundation.com/l7-filter/

 

#进入解压目录并创建软连接

#进入内核目录

#为当前内核打补丁

#为了方便编译内核将系统上的内核配置文件复制过来

编译内核

在Networking support中选择 Networking options

查找Network packet filtering framework(Netfilter)–>Core Netfiler Configrationg–>Netfilter connection tracking support(NEW),”layer7″ match support(NEW),”time” match support(NEW),”iprange”

查找IP:Netfilter Configuration–>IPv4 connection tracking support,Full NAT(NEW)

重启操作系统选择新内核登录

卸载旧的iptables

安装新的iptables,以支持新的netfiler模块

查看安装后的iptables的文件

复制之前备份的配置文件和脚本

修改脚本中iptables的路径

让iptables服务开机自动启动

修改iptables 配置文件
将/etc/sysconfig/iptables-config中的
IPTABLES_MODULES=”ip_conntrack_netbios_ns”    注释掉

安装协议特征码

完成后在/etc/l7-protocols会生成文件
支持的协议/etc/l7-protocols/protocols

添加iptables策略,运行内部网络上网,禁止qq和视频

指定8点到12点无法上网

5、使用tc控制带宽

例如公司出口带宽是10Mbps,个用户A分配500KB的最大下载带宽,给用户B 分配分配的最大下载带宽是200KB
A用户ip:10.0.0.100
B用户ip:10.0.0.101

#在eth0网卡上创建一个根队列规则,队列规则的算法使用htb,default 2表示指定一个默认类别编号,默认的流量控制策略,如果ip没有在后面的filter中被匹配到就都是有这个策略

#在eth0网卡上定义一个类,prant 1:0中的1对应根队列规则中的handle 1:0,classid 1:2表示当前这个类的标识,用于应用在后面的得到filter中,rate 200kbsp表示带宽为200KB/s,ceil 200kbps表示最大带宽也为200KB/s,prio 2是优先级

#将两个类的默认的fifq队列规则改为sfq

#在网卡eth0上的1:0节点(对应qdisc中的handle 1:0)添加一个u32过滤规则,优先级为1,凡是目标地址是10.0.0.100的数据包都使用1:2类(对应classid为1:2的类)

如果还有其他用户例如用户C和D的ip是102、103,要求的下载带宽也要求500那么在加入

清除eth0上的规则

 

转自:http://www.zhengdazhi.com/archives/1241

weinxin
微信公众号
扫一扫关注运维生存时间公众号,获取最新技术文章~

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen:

目前评论:2   其中:访客  2   博主  0

    • 运维生存时间网友 9

      非技术宅用Panabit更方便

      • 匿名 9

        非技术宅用Panabit更方便