Res: Layer 7 no lenny

Leandro,

o procedimento abaixo é um rascunho de uma apostila que estou desenvolvendo para uma instituição de treinamentos aqui em Recife. Ele foi completamente testado e está funcionando.
Meu servidor do laboratório possui duas placas de rede. A eth0 está conectada à Internet e a eth1 está conectada na rede local.

########## INICIO ##########

Bloquando/liberando tráfego com l7-filter

## Pré-requisitos ##

Descomentar a linha net.ipv4.ip_forward=1 no arquivo sysctl.conf

Instalar os pacotes abaixo para compilar o l7-filter
# aptitude install build-essential pkg-config libnetfilter-conntrack-dev libnetfilter-queue-dev

## Baixando os softwares ##
Baixar os arquivos l7-filter-userspace-versão.tar.gz e l7-protocols-data.tar.gz
Descompactá-los em /usr/src

## Instalação ##

# cd /usr/src/l7-filter-userspace-versão
# ./configure --prefix=/usr/local
# make
# make install

copiar o arquivo de configuração
cp sample-l7-filter /usr/local/etc/l7-filter.conf

* Instalar o pacote de protocols
cd /usr/src/l7-protocolos-versão
make install

## Carregando módulos necessários ##

modprobe nf_conntrack_ipv4
modprobe nf_conntrack_netlink

* Configurar o carregamento dos módulos nf_conntrack_ipv4 e nf_conntrack_netlink em /etc/modules

## Iniciando o l7-filter ##

Iniciar o l7-filter
# /usr/local/bin/l7-filter -z -f /usr/local/etc/l7-filter.conf

## Criando regras no firewall ##

# iptables -A FORWARD -j NFQUEUE --queue-num 0
# iptables -t mangle -N MSN
# iptables -t mangle -A POSTROUTING -m mark --mark 15 -j MSN
# iptables -t mangle -A MSN -o eth1 -s 192.168.10.100 -j ACCEPT
# iptables -t mangle -A MSN -o eth1 -j DROP
# iptables-save > /etc/default/iptables

## Configurar o carregamento automáticos das regras do firewall ##
Adicionar a seguinte linha na configuração da interface no arquivo /etc/network/interfaces

iface eth1 inet static
    xxxxx
    xxxxx
   up /sbin/iptables-restore /etc/iptables

########## FIM ##########

Kléber Leal

--
Não à pirataria. Sim ao Software Livre.

De: Leandro Moreira <leandro@leandromoreira.eti.br>
Para: Kleber Leal <kalvesleal@yahoo.com.br>
Enviadas: Sexta-feira, 9 de Outubro de 2009 20:14:52
Assunto: Re: Layer 7 no lenny

Kleber,
Sera que poderia me mandar um exemplo de regra, usando userspace, pois o que eu encontrei nao funcionaram.

Att.

Leandro Moreira.

2009/10/8 Kleber Leal <kalvesleal@yahoo.com.br>

Eu prefiro utilizar a versão userspace.
A necessidade de recompilar o kernel poderá trazer consequências na segurança se você não estiver disposto a viver recompilando o kernel.
A forma de criar as regras ficam ligeiramente diferentes do modo clássico do iptables, mas nada que uma lida no Howto disponível no site do layer7 não resolva.

Kléber Leal

--
Não à pirataria. Sim ao Software Livre.

De: Aderbal Botelho <aderbal@gmail.com>
Para: Eduardo Rodrigues da Luz <eduardo.r.luz@gmail.com>
Cc: Debian - Lista - ptBR <debian-user-portuguese@lists.debian.org>
Enviadas: Qui, Outubro 8, 2009 6:39:09 PM
Assunto: Re: Layer 7 no lenny

Pacotes já com o kernel e o iptables para layer7 é só instalar e ir pro abraço.

http://aderbal2.pycontrole.com.br//linux_layer_7/

2009/10/8 Eduardo Rodrigues da Luz <eduardo.r.luz@gmail.com>
Então passei por esse dilema a alguns dias. Nem tudo é apt-get =) rsrs.
Vai ter que recompilar o kernel com suporte para o l7.

2009/10/8 Edson - PMSS <edson.amaral@saosebastiao.sp.gov.br>:

> Este assunto é recorrente na lista. Mas, basicamente, você terá que baixar o
> fonte do kernel, iptables e os patches do Layer7 e recompilar o kernel.
>
> Veja: http://cdom.wordpress.com/2008/02/02/iptables-trabalhando-com-layer7/
>
> Leonardo Coelho escreveu:
>
> Não sei mas no meu humilde achismo a lista é para tirar duvidas e não algo
> como me digam como eu faço todo o processo....será que o google não tem nada
> relacionado que voce procurar ou pelo menos saber de algum tutorial.
>
> 2009/10/8 Moksha Tux <govatux@gmail.com>
>>
>> Boa tarde lista!
>>
>> Alguém poderia me dizer se é possóvel eu instalar o Layer 7 no lenny via
>> apt? mOu senão alguém poderia me ajudar com algum tutorial? Obrigado,
>>
>> Moksha Tux
>
>
>
> --
> "First they ignore you, then they laugh at you, then they fight you, then
> you win." - Mahatma Gandhi
> Linux User #373408
> cabelohw.blogspot.com
> GPGkey ID 8AEEAAEB -->> http://pgp.mit.edu
>
>
> --
> Edson Donizete do Amaral
>
> Prefeitura Municipal de São Sebastião
> Divisão de Tecnologia e Informação
>
> Visite o meu Blog --> http://edsonda.wordpress.com/
>
> -- To UNSUBSCRIBE, email to debian-user-portuguese-REQUEST@lists.debian.org
> with a subject of "unsubscribe". Trouble? Contact
> listmaster@lists.debian.org

--
Eduardo Rodrigues da Luz

--
To UNSUBSCRIBE, email to debian-user-portuguese-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org

--
Aderbal Botelho
+55 61 8145 0537
+55 82 9960 2322
http://fdtk.com.br
http://www.mercadopublico.gov.br/organizations/one?organization_id=6641186
Un 85658381
aderbalbotelho@hotmail.com
aderbal@gmail.com.

Veja quais são os assuntos do momento no Yahoo! + Buscados: Top 10 - Celebridades - Música - Esportes

--
Leandro Moreira
Linux Administrator: LPIC-1
e-mail/msn: leandro@leandromoreira.eti.br
Tel.: + 55(32) 9906-5713