编译64位deiban内核，安装Layer 7过滤软件

liuy03

编译64位deiban内核，安装Layer 7过滤软件

作者：Xliu
Msn:6160@9.cn



首先从debian的官方网站下载ISO镜像，下载地址：http://www.debian.org/distrib/。官方网站上有各种不同CPU架构的安装镜像下载，其中标识i386就是我们常用的32位系统镜像，IA64是专用于安腾64位处理器，本文所要使用的是64位系统，就选择标识为amd64的镜像。需要注意的是，amd64架构不是单指AMD的64位处理器，也包括支持INTEL EMT64技术的处理器（如现在流行的酷睿系列处理器）。镜像也分为DVD和CD两种，建议有条件的话，还是下载DVD的，毕竟包含的软件多。一般来说只需下载第一张镜像光盘就可以了，这次实验下载的镜像卷标为debian-501-amd64-DVD-1.iso
接下来刻盘安装，安装过程就不说了，网上教程很多，系统安装完成后，配置好IP，配置好SSH服务。
    然后打开putty（一个用来登录远程服务器的工具），通过SSH登录debian服务器，输入root帐号、密码，登录成功。如下图。（图片1）


接下来要更改apt源、准备内核和过滤工具的源代码。
cd /etc/apt
cp sources.list sources.list.bak
在sources.list中修改apt源列表，
nano sources.list
可以用删除键把里面所用的字符完全删除，接着输入apt的源，在中国大陆目前还是163的源最快最稳定，强烈建议使用。163是门户网站中第一个为开源软件提供镜像的公司。在这里顺便感谢下163。感谢为开源事业所做出的贡献。
deb http://mirrors.163.com/debian lenny main non-free contrib
deb-src http://mirrors.163.com/debian lenny main non-free contrib

（图片2）

完成后，按ctrl+o敲下回车保存，再按ctrl+x退出。
输入apt-get update更新源列表

（图片3）

更新完成，安装编译所需的工具：
     apt-get install zip
     apt-get install bzip2
  　apt-get install make
  　apt-get install debhelper
  　apt-get install kernel-package
  　apt-get install libncurses5-dev
  　apt-get install fakeroot

接下来该下载内核和过滤工具的源代码，为了方便管理，新建目录
mkdir /usr/src/kernels
内核和过滤工具的源代码就放在kernels目录。进入kernels目录
cd /usr/src/kernels

（图片4）

用wget命令下载内核和过滤工具的源代码
wget http://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.28.10.tar.bz2
wget ftp://ftp.netfilter.org/pub/iptables/iptables-1.4.2.tar.bz2
wget http://nchc.dl.sourceforge.net/sourceforge/l7-filter/netfilter-layer7-v2.21.tar.gz
wget http://nchc.dl.sourceforge.net/sourceforge/l7-filter/l7-protocols-2009-05-10.tar.gz
用ls命令查看下，应该可以看到下载完的软件包
（图片5）

解压以上文件：
tar -jxvf linux-2.6.28.10.tar.bz2; tar -zxvf l7-protocols-2009-05-10.tar.gz; tar -zxvf netfilter-layer7-v2.21.tar.gz; tar -jxvf iptables-1.4.2.tar.bz2

为了方便，做一个符号链接，并进入新内核源代码目录：
ln -s linux-2.6.28.10 linux
cd linux

为内核源代码打下layer7的补丁
patch -p1 < ../netfilter-layer7-v2.21/kernel-2.6.25-2.6.28-layer7-2.21.patch

（图片6）

接下来进入关键的步骤，为内核选择layer7及相关的模块；
make menuconfig
让新内核读取旧内核的配置：
在出现的菜单选项中选中“Load an Alternate Configuration File”，输入旧内核配置文件的路径/boot/config-2.6.26-2-amd64，然后确认，开始选择内核模块
选项如下：
General setup  --->
     

Prompt for development and/or incomplete code/drivers
Networking  --->
       Networking options  --->
           

Network packet filtering framework (Netfilter)  --->
                 Core Netfilter Configuration  --->
                     <M> Netfilter connection tracking support
                     -*- Connection tracking flow accounting
                     -*- Connection mark tracking support
                     

Connection tracking security mark support
                     

Connection tracking events (EXPERIMENTAL)
                     <M> SCTP protocol connection tracking support (EXPERIMENTAL)
                     <M> UDP-Lite protocol connection tracking support (EXPERIMENTAL)
                     <M> Amanda backup protocol support
                     <M> FTP protocol support
                     <M> H.323 protocol support (EXPERIMENTAL)
                     <M> IRC protocol support
                     <M> NetBIOS name service protocol support (EXPERIMENTAL)
                     <M> PPtP protocol support
                     <M> SANE protocol support (EXPERIMENTAL)
                     <M> SIP protocol support (EXPERIMENTAL)
                     <M> TFTP protocol support
                     <M> Connection tracking netlink interface (EXPERIMENTAL)
                     {M} Netfilter Xtables support (required for ip_tables)
                     <M>   "CLASSIFY" target support
                     <M>   "CONNMARK" target support
                     <M>   "DSCP" target support
                     <M>   "MARK" target support
                     <M>   "NFQUEUE" target Support
                     <M>   "NFLOG" target support
                     <M>   "NOTRACK" target support
                     <M>   "TRACE" target support
                     <M>   "TRACE" target support
                     <M>   "SECMARK" target support
                     <M>   "CONNSECMARK" target support
                     <M>   "TCPMSS" target support
                     <M>   "comment" match support
                     <M>   "connbytes" per-connection counter match support
                     <M>   "connlimit" match support"
                     <M>   "connmark" connection mark match support
                     <M>   "conntrack" connection tracking match support
                     <M>   "DCCP" protocol match support
                     <M>   "DCCP" protocol match support
                     <M>   "DSCP" match support
                     <M>   "ESP" match support
                     <M>   "helper" match support
                     <M>   "length" match support
                     <M>   "limit" match support
                     <M>   "mac" address match support
                     <M>   "mark" match support
                     <M>   IPsec "policy" match support
                     <M>   Multiple port match support
                     <M>   "physdev" match support
                     <M>   "pkttype" packet type match support
                     <M>   "quota" match support
                     <M>   "realm" match support
                     <M>   "sctp" protocol match support (EXPERIMENTAL)
                     <M>   "state" match support
                     <M>   "layer7" match support
                     

     Layer 7 debugging output
                     <M>   "statistic" match support
                     <M>   "string" match support
                     <M>   "tcpmss" match support
                     <M>   "time" match support
                     <M>   "u32" match support
                     <M>   "hashlimit" match support
                 IP: Netfilter Configuration  --->
                     <M> IPv4 connection tracking support (required for NAT)
                     

   proc/sysctl compatibility with old connection tracking (NEW
                     <M> IP Userspace queueing via NETLINK (OBSOLETE)
                     <M> IP tables support (required for filtering/masq/NAT)
                     <M>   IP range match support
                     <M>   TOS match support
                     <M>   recent match support
                     <M>   ECN match support
                     <M>   AH match support
                     <M>   TTL match support
                     <M>   Owner match support
                     <M>   address type match support
                     <M>   Packet filtering
                     <M>     REJECT target support
                     <M>   LOG target support
                     <M>   ULOG target support
                     <M>   Full NAT (NEW)
                     <M>     MASQUERADE target support
                     <M>     REDIRECT target support
                     <M>     NETMAP target support
                     <M>     SAME target support (OBSOLETE)
                     <M>     Basic SNMP-ALG support (EXPERIMENTAL)
                     <M>   Packet mangling
                     <M>     TOS target support

建议把Core Netfilter Configuration和IP: Netfilter Configuration的所有选项都选中。注意，刚开始时，我一直找不到：<M> "layer7" match support 和

Layer 7 debugging output 这两个模块，浪费了很多时间，后来发现是因为这两个模块是属于：<> Netfilter connection tracking support 这个模块，因此得先选择<M> Netfilter connection tracking support 这样下面才有Layer7及相关模块，在内核选项建议把你所有的网卡驱动选中

，其中time模块就是可以通过iptables可以控制上网的时间等功能，就是时间控制的模块！

一步一步的"EXIT"后，会提示你是否保存刚才的选择更改结果，我们选“YES”！

清除源码树并复原 kernel-package 参数
#make-kpkg clean

然后进行编译并生成.deb的包，以供安装时使用：
fakeroot make-kpkg --append_to_version -adm64 --initrd --revision=2.6.28.10 kernel_image modules_image
下面系统就可以编译内核了，这是一个漫长的过程，在我机器上用了一个小时才编译完成。


（图片7）

退回kernels目录：
cd ..
安装新的内核：
dpkg -i linux-image-2.6.28.10-adm64_2.6.28.10_amd64.deb

（图片8）

这时，会将新内核安装到相应的位置，同时会在/boot/grub/menu.lst增加新内核的条目

为iptables打补丁，并安装之
cd iptables-1.4.2
cp ../netfilter-layer7-v2.21/iptables-1.4.1.1-for-kernel-2.6.20forward/libxt_layer7.* extensions/
./configure --with-ksource=/usr/src/kernels/linux
make
make install
安装通讯定义档
cd /usr/src/kernels/l7-protocols-2009-05-10
make install

（图片9）
看执行的结果就知道，它在做什么了！

这样新的内核都弄好了，iptables也装好了，重启计算机：
shutdown -r now
启动完成后，用命令查看新内核与iptalbes是否安装成功：
uname -a;iptables -V
（图片10）

再测试layer7是否可用：
iptables -m layer7 --help
（图片11）

如果出现上面的信息就说明layer已经可以正常工具了。到这一步就算大功告成了。


附：阻挡qq.bt.msn通讯的命令
    iptables -t mangle -I PREROUTING -m layer7 --l7proto msnmessenger -j DROP (禁止msn)
iptables -t mangle -I PREROUTING -m layer7 --l7proto bittorrent -j DROP (禁止bt)
iptables -t mangle -I PREROUTING -m layer7 --l7proto qq -j DROP (禁止QQ通讯)


在写作本文的过程中，参考了以下两篇文章，在这里向两位作者表示感谢。
http://blog.csdn.net/zubin006/archive/2008/08/03/2760600.aspx
http://ms.ntcb.edu.tw/~steven/article/kernel-layer7-filter.htm

liuy03

补上图片～！

crazypenguin

好文章，谢谢！