注册 登录  
 加关注
查看详情
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

欢迎光临shaying110的博客

RSed-ISPing

 
 
 

日志

 
 

如何用IPtables限制BT、电驴等网络流量  

2007-12-20 12:21:00|  分类: Linux |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
如何用IPtables限制BT、电驴等网络流量

今年4月,看到一则报道说尽管某宽带公司现有技术可以容纳的网络用户容量为400600万用户,可是目前,在容纳了45万用户的情况下,网络已经拥挤不堪,时常出现断网情况,一到上网高峰,网速就会急剧下降。

为何网络会如此拥挤不堪?这是因为自从出现诸如电驴、KazaaBTP2P软件之后,海量的数据文件(如大容量文件交换、视频文件下载等)逐渐占据了大部分的网络带宽。P2P这一新应用给用户带来了前所未有的方便和丰富的资源,但同时也引发了网络带宽和安全问题。

如何在发挥P2P强大功能的情况下对其进行一些必要的限制呢?本文将介绍在Linux中如何利用netfilter/iptables实现对P2P应用流量的限制。

升级内核

由于在公开发布的Linux内核文件中,有关iptables的各种参数里没有关于P2P属性的参数,所以必须通过升级Linux内核和iptables来打上这个补丁,使其支持P2P属性设置。

在具体操作之前,先要了解一下升级内核补丁需要的一些相关软件:linux-< xmlnamespace prefix ="st1" />2.4.20-8.tar.gzpatch-o-matic-20040609.tar.bz2iptables-1.2.8.tar.bz2iptables-p2p-0.3.0a.tar.gzipp2p-0.5c.tar.gz

这里的测试环境为Red Hat 9.0,内核为2.4.20-8。由于2.4.*是一个稳定的内核,因此不能把当前开发的一些新功能提交到主内核中去,而只能首先在patch-o-matic中测试,然后打补丁到内核中。在CVS中可以找到最新的patch-o-matic—Patch-o-matic-20040609.tar.bz2

有了内核支持后,还需要iptables支持,其中iptables-p2p-0.3.0a.tar.gznetfilter/iptables组织开发的专门支持P2Piptables扩展软件包;ipp2p-0.5c.tar.gzEicke Friedrich开发的一个支持P2Piptables扩展包。这两个扩展包各有特色,后面将会分别介绍。

装载模块

首先在/usr/src下解压软件包:
#bzip2 -d patch-o-matic-20040609.tar.bz2

生成patch-o-matic-20040609.tar.out

#tar xvf patch-o-matic-20040609.tar.out

生成补丁目录patch-o-matic-20040609Red Hat 9.0中默认的内核目录为/usr/src/linux-2.4。进入补丁目录/usr/src/patch-o-matic-20040609,由于支持P2P协议控制选项需要CONNMARK模块,该模块在extra子目录下,因此需要运行如下命令来升级内核补丁。

#KERNEL_DIR=/usr/src/linux-2.4 ./runme extra

运行该命令后会出现一个模块选择界面,界面有两个区域,一个给出相关的模块名、模块功能、用法和语法实例;另一个给出各种选项,如N/y/b/r.../q/?,其中第一个为大写字母,表示缺省选项,n表示下一个模块,y表示确定,b表示上一个模块,q表示退出。

首先应该确定当前的模块是否需要,不需要就按“N”键后回车,继续显示下一个模块的相关信息。当出现需要的模块时,按“Y”键确认,同时应该将里面的相关语法实例抄录下来以备用。选择完所有需要的模块后,按“Q”键退出。

编译内核

进入内核文件所在目录/usr/src/linux-2.4,开始编译内核:

#make mrproper
#make xconfig
(或#make menuconfig

注意,在配置选项中必须选择Networking options→IP:Netfilter Configuration→Connection mark tracking supportCONNMARK target support两个选项。确保关键文件在正确位置:

#make dep

编译大内核:

 

 



#make bzImage

编译选择的模块:

#make modules

将编译后的模块转移到系统标准位置:

#make modules_install

让系统自动修改启动配置文件grub.conf

#make install

重新启动系统,选择Red Hat Linux2.4.20-8custom)选项,则启动了新编译的内核。

升级iptables

安装iptables-1.2.8

首先解压iptables-1.2.8.tar.bz2文件:

#bzip2 -d iptables-1.2.8.tar.bz2
#tar xvf iptables-1.2.8.tar.out

编译iptables-1.2.8

#make KERNEL_DIR=/usr/src/linux-2.4
#make install KERNEL_DIR=/usr/src/linux-2.4
#make install-devel

拷贝可执行文件到相应目录:

#cp iptables iptables-save iptables-restore /sbin

安装iptables-p2p软件
首先解压iptables-p2p-0.3.0a.tar.gz

#tar zxvf iptables-p2p-0.3.0a.tar.gz
#cd iptables-p2p-0.3.0a

拷贝iptables-1.2.8的头文件到适当的目录:

#cp -a /usr/src/iptables-1.2.8/include/* /usr/include

运行“make”编译iptables-p2p,并拷贝相关文件到相应的目录:

#make
#cp kernel/ipt_p2p.o /lib/modules/2.4.20-8custom/kernel/net/ipv4/netfilter/
#cp iptables/libipt_p2p.so /lib/iptables/

安装ipp2p软件

首先修改Makefile文件中的源目录、内核目录和netfilter版本号,将以下内容:

IKERNEL = -I/usr/src/linux/include
IUSER = -I/usr/src/iptables-1.2.7a/include
NETFILTER_VERSION = \"1.2.7a\"

改为:

IKERNEL = -I/usr/src/linux-2.4/include
IUSER = -I/usr/src/iptables-1.2.8/include
NETFILTER_VERSION = \"1.2.8\"


编译软件,并拷贝库文件到相应的目录:

#make
#cp libipt_ipp2p.so /lib/iptables

装入模块:

#insmod ipt_ipp2p

应用和检测P2P限制功能

iptables-p2p
的应用

1
iptables-p2p目前支持如下协议:

FastTrackKaZaaGrokster......

eDonkeyeDonkeyeMule......

Direct Connect

Gnutellaregular clients and Shareaza's gnutella 2

BitTorrent

OpenFTgiFT

需要安装CONNMARK模块,通过CONNMARK模块的标记包来使用iptables-p2p

2
.通过-help参数获取帮助:


#iptables -m p2p -help
……
P2P match v0.3.0a options:
--p2p-protocol [!] protocol[,...]
--p2p ...
match application-layer protocol
(匹配的应用层协议)
Valid p2p protocols:
P2P支持的有效协议如下:)
fasttrack
gnutella
edonkey
dc
bittorrent
openft

iptables-p2p
模块通过-m p2p参数来实现对所有已知P2P连接请求的识别。注意,-m p2p只能识别P2P类型的连接请求,不能识别所有的P2P包,可以通过--p2p-protocol子参数来识别P2P的各种已知协议类型。

3
.应用实例

#iptables -A FORWARD -m p2p -j DROP

阻塞网络上所有的P2P连接请求。

#iptables -A FORWARD -m p2p --p2p-protocol fasttrack,bittorrent -j DROP

阻塞网络上fasttrackbittorrent协议连接请求。

在实际使用过程中必须和CONNMARK目标结合起来,然后通过tc过滤才能真正对所有P2P包进行限制。更多的信息可以参考example/limit-p2p.sh的实例脚本。

ipp2p
的应用

1
ipp2p目前支持如下Linux内核和iptables版本:

Linux-Kernels 2.62.6.3

Linux-Kernels 2.42.4.182.4.192.4.202.4.212.4.222.4.23

iptableswww.netfilter.org1.2.7a1.2.81.2.9

2
.获取ipp2p帮助

# iptables -m ipp2p --help
……
IPP2P v0.5c options:
--ipp2p Grab all known p2p packets
(抓所有已知的P2P包)
--ipp2p-data Grab all known p2p data packets
(抓所有已知P2P数据包)
--edk Grab all known eDonkey/eMule/Overnet packets
(抓所有已知的eDonkey/eMule/Overnet类型的包)
--edk-data Grab all eDonkey/eMule/Overnet data packets
(抓所有已知的eDonkey/eMule/Overnet数据包)
--dc Grab all known Direct Connect packets
(抓所有已知的直接连接包)
--dc-data Grab all Direct Connect data packets
(抓所有已知的直接连接数据包)
--kazaa Grab all KaZaA packets
(抓所有KaZaA包)
--kazaa-data Grab all KaZaA data packets
(抓所有KaZaA数据包)
--gnu Grab all Gnutella packets
(抓所有Gnutella包)
--gnu-data Grab all Gnutella data packets
(抓所有Gnutella数据包)
--bit Grab all BitTorrent packets (beta - handle with care)
(抓所有BitTorrent包)
--apple Grab all AppleJuice packets (beta - handle with care)
(抓所有AppleJuice包)
--soul SoulSeek (beta - handle with care)
SoulSeek类型的包)
……

3
.应用实例

ipp2p
只能识别P2P连接请求,而不能识别所有P2P包,因此也必须和CONNMARK目标结合在一起使用,目前只支持TCP协议标示。下面来看一个实例。

#iptables -A PREROUTING -t mangle -p tcp -j CONNMARK --restore-mark

上面代码表明从CONNMARK目标中恢复标记。
#iptables -A PREROUTING -t mangle -p tcp -m mark ! --mark 0 -j ACCEPT

上面代码表明接收所有非0的标记包。
#iptables -A PREROUTING -t mangle -p tcp -m ipp2p --ipp2p -j MARK --set-mark 1

上面代码表明将ipp2p连接标记为1”

#iptables -A PREROUTING -t mangle -p tcp -m mark --mark 1 -j CONNMARK --save-mark

上面代码表明保存所有标记为1”的包到CONNMARK目标中。

通过上面设置得到的结果是,每一个标示为P2P连接的包被标记成1”,然后再通过tc过滤,执行下面的操作:
#tc filter add dev eth0 parent 1:0 protocol ip prio 4 handle 1 fw classid 1:11
#tc filter add dev eth1 parent 2:0 protocol ip prio 4 handle 1 fw classid 2:11

使用HTB和过滤,将所有标记为1”的包放到每一个设备类中,通过对这些设备类的限制来达到对P2P连接带宽的限制。

更多的信息可以参考http://rnvs.informatik.uni-leipzig.de/ipp2p/

应用效果

笔者在单位防火墙上应用了iptables-p2pipp2p配置,对P2PFastTrack协议进行限制后,用贪婪BTABC)进行测试,取得了理想的效果,能有效地限制P2P通信。

  评论这张
 
阅读(160)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2018