Iptables + Layer7
Este artigo tem o objetivo de apresentar a ferramenta Iptables, explicando um pouco sobre seu funcionamento e mostrando alguns exemplos da utilização deste firewall, bem como alguns de seus módulos. Em seguida detalharemos a importância, a instalação e mostraremos alguns exemplos de uso de um dos módulos existentes para o Iptables: o Layer7.
[ Hits: 119.730 ]
Por: Andre Oliveira em 19/11/2008
Utilização do Layer 7
Agora vamos aos exemplos e testes utilizando o Layer 7. Podemos bloquear, por exemplo, o uso do msn (e de aplicativos que utilizem o mesmo protocolo) com os comandos:
# iptables -A OUTPUT -m layer7 --l7proto msnmessenger -j DROP
# iptables -A INPUT -m layer7 --l7proto msnmessenger -j DROP
Repare que utilizamos a opção -m para especificar que utilizaremos o módulo layer7 e, com isso, habilitamos a opção --l7proto que vai especificar qual protocolo iremos bloquear.
Podemos bloquear, por exemplo, vídeo pela Web (youtube, por exemplo):
# iptables -A INPUT -m layer7 --l7proto httpvideo -j DROP
Bloqueando DNS:
# iptables -A INPUT -m layer7 --l7proto dns -j DROP
Estes são alguns exemplos de protocolos que podem ser bloqueados, mas podemos bloquear vários outros programas como doom3, skype, edonkey, etc. Para uma lista dos protocolos disponíveis nesta versão no Layer 7 basta acessar os diretórios /etc/l7-protocols/extra e /etc/l7-protocols/protocols.
O Layer 7 permite ainda que façamos controle de banda por IP definindo o percentual sobre o total de banda que cada protocolo pode usar. Por exemplo, se você cadastrar uma regra para Edonkey com 3%, mesmo que todos os clientes estiverem fazendo downloads pelo emule ao mesmo tempo esse consumo não vai ultrapassar de 3% da banda total de cada IP. Isso é feito através da marcação de pacotes quando estes passam pelas chains da tabela Mangle; a diferença do Layer 7, é que com ele podemos fazer esta marcação com base nos protocolos da camada de aplicação.
Conforme o próprio site do projeto afirma, o Layer 7 nem sempre classifica corretamente os pacotes. Mesmo assim, através da realização de vários testes observamos que o serviço oferecido por este módulo é de excelente qualidade, sendo portanto uma excelente opção para aqueles que necessitam de filtros que vão além do nível de pacotes.
# iptables -A OUTPUT -m layer7 --l7proto msnmessenger -j DROP
# iptables -A INPUT -m layer7 --l7proto msnmessenger -j DROP
Repare que utilizamos a opção -m para especificar que utilizaremos o módulo layer7 e, com isso, habilitamos a opção --l7proto que vai especificar qual protocolo iremos bloquear.
Podemos bloquear, por exemplo, vídeo pela Web (youtube, por exemplo):
# iptables -A INPUT -m layer7 --l7proto httpvideo -j DROP
Bloqueando DNS:
# iptables -A INPUT -m layer7 --l7proto dns -j DROP
Estes são alguns exemplos de protocolos que podem ser bloqueados, mas podemos bloquear vários outros programas como doom3, skype, edonkey, etc. Para uma lista dos protocolos disponíveis nesta versão no Layer 7 basta acessar os diretórios /etc/l7-protocols/extra e /etc/l7-protocols/protocols.
O Layer 7 permite ainda que façamos controle de banda por IP definindo o percentual sobre o total de banda que cada protocolo pode usar. Por exemplo, se você cadastrar uma regra para Edonkey com 3%, mesmo que todos os clientes estiverem fazendo downloads pelo emule ao mesmo tempo esse consumo não vai ultrapassar de 3% da banda total de cada IP. Isso é feito através da marcação de pacotes quando estes passam pelas chains da tabela Mangle; a diferença do Layer 7, é que com ele podemos fazer esta marcação com base nos protocolos da camada de aplicação.
Conforme o próprio site do projeto afirma, o Layer 7 nem sempre classifica corretamente os pacotes. Mesmo assim, através da realização de vários testes observamos que o serviço oferecido por este módulo é de excelente qualidade, sendo portanto uma excelente opção para aqueles que necessitam de filtros que vão além do nível de pacotes.
Páginas do artigo
1. Introdução 2. Utilização do Iptables
3. Módulos
4. Instalando o Layer 7
5. Utilização do Layer 7
Outros artigos deste autor
Nenhum artigo encontrado.
Leitura recomendada
Instalando um firewall mínimo em Debian
Entendendo TCP/IP (Parte 5) - Portas TCP/UDP
Script de Firewall com redirecionamento de portas em Linux Debian
Utilizando a ferramenta Iptstate
Comentários
[1] Comentário enviado por brunocontin em 19/11/2008 - 16:42h
Muito bom, mais teria como eu colocar o Layer 7 no meu Kernel atual? Já que ele está numa versão acima do que você descreveu.
Muito bom, mais teria como eu colocar o Layer 7 no meu Kernel atual? Já que ele está numa versão acima do que você descreveu.
[2] Comentário enviado por renato_pacheco em 19/11/2008 - 17:02h
Excelente artigo! Tinha um professor meu q ele não conseguia bloquear o skype pelo Windows Server 2003. Eu acho q ele vai t q mudar pra um server Linux agora. Huiahiuahuiaha!!
Excelente artigo! Tinha um professor meu q ele não conseguia bloquear o skype pelo Windows Server 2003. Eu acho q ele vai t q mudar pra um server Linux agora. Huiahiuahuiaha!!
[3] Comentário enviado por aolb em 19/11/2008 - 18:57h
renato_pacheco valeu pela força... espero que o tutorial possa ajudar!
brunocontin foi excelente sua pergunta, pois aproveito para colocar um link que não pus no tutorial. Este link é uma lista de compatibilidade do Layer 7 com as versões do kernel. Note que eu fiz o tutorial com a última versão que comprovadamente compila e funciona. De qualquer forma, segue o link para que você (e os demais que tenham a mesma dúvida) verifique de acordo com a sua versão.
Link: http://l7-filter.sourceforge.net/kernelcompat
Abraços a todos.
renato_pacheco valeu pela força... espero que o tutorial possa ajudar!
brunocontin foi excelente sua pergunta, pois aproveito para colocar um link que não pus no tutorial. Este link é uma lista de compatibilidade do Layer 7 com as versões do kernel. Note que eu fiz o tutorial com a última versão que comprovadamente compila e funciona. De qualquer forma, segue o link para que você (e os demais que tenham a mesma dúvida) verifique de acordo com a sua versão.
Link: http://l7-filter.sourceforge.net/kernelcompat
Abraços a todos.
[4] Comentário enviado por macvitor em 20/11/2008 - 15:37h
Parabéns, pelo artigo. Eu havia escrito um, mas já faz tempo, está ultrapassado.
Parabéns, pelo artigo. Eu havia escrito um, mas já faz tempo, está ultrapassado.
[5] Comentário enviado por jpaulo_farias em 25/11/2008 - 15:45h
Parabens pelo artigo, eu ja tenho o layer 7 funcionando normal esta bloqueando perfeitamente, so que eu estou tendo um problema, espero que vc pode me ajudar.
Aqui em baixo esta as minhas regras que eu to usando, eu to bloqueando geral na o MSN e o SKYPE e to liberando pra alguns ips e esta funcionando normal so que esta bloqueando os aplicativos do telnet smtp e ftp, e ja fiz de tudo e nao consigo libera telnet e o ftp o telnet, ja o smtp funcionou depois que eu adicionei essa linha $IPT -A FORWARD -m layer7 --l7proto smtp -j ACCEPT, eu tentei fazer a mesma coisa com o ftp e o telnet + nao funcionou.
Isso acontece quando eu blqoueio o skype, ai para de funciona o telnet e o ftp, vc pode me ajudar. se abaixo comandos do layer 7 que eu estou usando.
#===========================================
#echo "Liberando Messeger e o Skype por IP ............................. OK"
#===========================================
$IPT -t filter -A FORWARD -s 10.46.22.248/32 -m layer7 --l7proto msnmessenger -j ACCEPT
$IPT -t filter -A FORWARD -d 10.46.22.248/32 -m layer7 --l7proto msnmessenger -j ACCEPT
$IPT -t filter -A FORWARD -s 10.46.22.250/32 -m layer7 --l7proto skypeout -j ACCEPT
$IPT -t filter -A FORWARD -d 10.46.22.250/32 -m layer7 --l7proto skypeout -j ACCEPT
#============================================
echo "Libera os programa no Layer 7 ...................... OK"
#============================================
#
$IPT -A FORWARD -m layer7 --l7proto smtp -j ACCEPT
$IPT -A FORWARD -m layer7 --l7proto telnet -j ACCEPT
#===========================================
#echo "Bloqueando P2p/Messenger e Skype ...................... OK"
#============================================
$IPT -A FORWARD -m layer7 --l7proto msnmessenger -j DROP
$IPT -A FORWARD -m layer7 --l7proto skypeout -j DROP
$IPT -A FORWARD -m layer7 --l7proto skypetoskype -j DROP
Grato,
Joao Paulo
Parabens pelo artigo, eu ja tenho o layer 7 funcionando normal esta bloqueando perfeitamente, so que eu estou tendo um problema, espero que vc pode me ajudar.
Aqui em baixo esta as minhas regras que eu to usando, eu to bloqueando geral na o MSN e o SKYPE e to liberando pra alguns ips e esta funcionando normal so que esta bloqueando os aplicativos do telnet smtp e ftp, e ja fiz de tudo e nao consigo libera telnet e o ftp o telnet, ja o smtp funcionou depois que eu adicionei essa linha $IPT -A FORWARD -m layer7 --l7proto smtp -j ACCEPT, eu tentei fazer a mesma coisa com o ftp e o telnet + nao funcionou.
Isso acontece quando eu blqoueio o skype, ai para de funciona o telnet e o ftp, vc pode me ajudar. se abaixo comandos do layer 7 que eu estou usando.
#===========================================
#echo "Liberando Messeger e o Skype por IP ............................. OK"
#===========================================
$IPT -t filter -A FORWARD -s 10.46.22.248/32 -m layer7 --l7proto msnmessenger -j ACCEPT
$IPT -t filter -A FORWARD -d 10.46.22.248/32 -m layer7 --l7proto msnmessenger -j ACCEPT
$IPT -t filter -A FORWARD -s 10.46.22.250/32 -m layer7 --l7proto skypeout -j ACCEPT
$IPT -t filter -A FORWARD -d 10.46.22.250/32 -m layer7 --l7proto skypeout -j ACCEPT
#============================================
echo "Libera os programa no Layer 7 ...................... OK"
#============================================
#
$IPT -A FORWARD -m layer7 --l7proto smtp -j ACCEPT
$IPT -A FORWARD -m layer7 --l7proto telnet -j ACCEPT
#===========================================
#echo "Bloqueando P2p/Messenger e Skype ...................... OK"
#============================================
$IPT -A FORWARD -m layer7 --l7proto msnmessenger -j DROP
$IPT -A FORWARD -m layer7 --l7proto skypeout -j DROP
$IPT -A FORWARD -m layer7 --l7proto skypetoskype -j DROP
Grato,
Joao Paulo
[6] Comentário enviado por relofi em 25/11/2008 - 17:01h
Olá segui o tuto e não deu erro algum, porém qdo executo o comando da esse erro:
/usr/src/iptables-1.4.1.1# iptables -A INPUT -m layer7 --l7proto fasttrack -j DROP
iptables: Invalid argument
porque será? alguém tem alguma idéia?Carreguei o mod: ipt_layer7
Olá segui o tuto e não deu erro algum, porém qdo executo o comando da esse erro:
/usr/src/iptables-1.4.1.1# iptables -A INPUT -m layer7 --l7proto fasttrack -j DROP
iptables: Invalid argument
porque será? alguém tem alguma idéia?Carreguei o mod: ipt_layer7
[7] Comentário enviado por carbony em 03/12/2008 - 09:10h
valeu pelo tutorial,
um duvida,
consegui rodar as regras iptable e layer7, bloqueou msn,emule, etc etc.
so que no prompt do root , ficando aparecendo essa mensagem na tela
kernel: layer7: couldn't get conntrack.
kernel: layer7: couldn't get conntrack.
kernel: layer7: couldn't get conntrack.
kernel: layer7: couldn't get conntrack.
kernel: layer7: couldn't get conntrack.
alguem saberia me dizer se isso e um error , e como eu resolveria?
ate que ponto atrapalha meu sistema?
valeu!!!
valeu pelo tutorial,
um duvida,
consegui rodar as regras iptable e layer7, bloqueou msn,emule, etc etc.
so que no prompt do root , ficando aparecendo essa mensagem na tela
kernel: layer7: couldn't get conntrack.
kernel: layer7: couldn't get conntrack.
kernel: layer7: couldn't get conntrack.
kernel: layer7: couldn't get conntrack.
kernel: layer7: couldn't get conntrack.
alguem saberia me dizer se isso e um error , e como eu resolveria?
ate que ponto atrapalha meu sistema?
valeu!!!
[8] Comentário enviado por carbony em 03/12/2008 - 18:12h
ola tenho uma duvida
instalei o layer7 e ipp2p,
o layer7 bloqueia os p2p, bittorrent,kazza, emule, ou e somente pra msn?
como instalei os dois , to conseguindo bloquear o msn e o p2p, gostaria de saber qual e comando para liberar determinado ip no ipp2p, sendo que no layer7 usei a dica acima do nosso companheiro.
outra duvida, o log do ipp2p consegui ver no /var/log/iptables e do layer7 aonde consigo ver o log dele?
valeu!!!
minha regra pra gerar log, gostaria de saber se esta certa
# gerar log ipp2p e msn
iptables -A FORWARD -m ipp2p --edk --kazaa --gnu --bit --apple --dc --soul --winmx --ares -j LOG --log-level 1 --log-pre$
iptables -A FORWARD -m layer7 --l7proto msnmessenger -j LOG --log-prefix "msn : "
ola tenho uma duvida
instalei o layer7 e ipp2p,
o layer7 bloqueia os p2p, bittorrent,kazza, emule, ou e somente pra msn?
como instalei os dois , to conseguindo bloquear o msn e o p2p, gostaria de saber qual e comando para liberar determinado ip no ipp2p, sendo que no layer7 usei a dica acima do nosso companheiro.
outra duvida, o log do ipp2p consegui ver no /var/log/iptables e do layer7 aonde consigo ver o log dele?
valeu!!!
minha regra pra gerar log, gostaria de saber se esta certa
# gerar log ipp2p e msn
iptables -A FORWARD -m ipp2p --edk --kazaa --gnu --bit --apple --dc --soul --winmx --ares -j LOG --log-level 1 --log-pre$
iptables -A FORWARD -m layer7 --l7proto msnmessenger -j LOG --log-prefix "msn : "
[9] Comentário enviado por jucaetico em 19/03/2009 - 18:31h
Amigos, Segui a risca esse tutorial e muitos outros desse mesmo assunto, quando reinicio a maquina para carregar o novo kernel recebo a seguinte mensagem: "Begin: Waiting for root file system". e fica nisso o kernel antigo carrega normal!! Obs: Meu HD é SATA. Obrigado!
Amigos, Segui a risca esse tutorial e muitos outros desse mesmo assunto, quando reinicio a maquina para carregar o novo kernel recebo a seguinte mensagem: "Begin: Waiting for root file system". e fica nisso o kernel antigo carrega normal!! Obs: Meu HD é SATA. Obrigado!
[10] Comentário enviado por jucaetico em 20/03/2009 - 15:51h
Galera, descobri que o problema está relacionado ao tipo da placa mãe, no meu caso o meu HD sata é reconhecido como IDE na BIOS. Então após recompilar o "kernel" o mesmo não é encontrado como sda1 e nem como ide, não sei explicar o porque. O que fiz foi utilizar um outro tipo de placa mãe que reconhece o meu HD como SATA na BIOS e funcionou blz! Obrigado,
Galera, descobri que o problema está relacionado ao tipo da placa mãe, no meu caso o meu HD sata é reconhecido como IDE na BIOS. Então após recompilar o "kernel" o mesmo não é encontrado como sda1 e nem como ide, não sei explicar o porque. O que fiz foi utilizar um outro tipo de placa mãe que reconhece o meu HD como SATA na BIOS e funcionou blz! Obrigado,
[11] Comentário enviado por danne em 21/08/2009 - 20:29h
Segui o tutorial utilizando as seguintes versões: Ubuntu Server 9.04, Kernel 2.6.28, Iptables 1.4.4, Layer7 2.22, protocolos 28/05/2009. Rodou numa boa.
Segui o tutorial utilizando as seguintes versões: Ubuntu Server 9.04, Kernel 2.6.28, Iptables 1.4.4, Layer7 2.22, protocolos 28/05/2009. Rodou numa boa.
[12] Comentário enviado por hugo.andrade em 18/09/2009 - 15:41h
Otimo tutorial...
Acabei de instala-lo aqui na minha empresa:
Debian(Net-inst)
Kernel 2.6.28
Iptables 1.4.1.1
Layer7 2.21
Seguindo a risca esse tutotial e não deu problema algum durante a instalação.
Parabens pelo otimo tutorial!!!
Otimo tutorial...
Acabei de instala-lo aqui na minha empresa:
Debian(Net-inst)
Kernel 2.6.28
Iptables 1.4.1.1
Layer7 2.21
Seguindo a risca esse tutotial e não deu problema algum durante a instalação.
Parabens pelo otimo tutorial!!!
[13] Comentário enviado por blade_ander em 27/12/2010 - 11:10h
Pessoal,
Se tiverem problemas e o módulo não subir, vai a dica, no caso usando Debian 5.06 lenny.
Alterando configuração do modulo L7:
# cp /lib/modules/2.6.26/kernel/net/netfilter/xt_layer7.ko
/lib/modules/2.6.26-2-686/kernel/net/ipv4/netfilter/xt_layer7.ko
Editando arquivo de módulos:
vim /lib/modules/2.6.26-2-686/modules.dep
Adicone a linha abaixo no final do arquivo:
/lib/modules/2.6.26-2-686/kernel/net/ipv4/netfilter/xt_layer7.ko: /lib/modules/2.6.26-2-686/kernel/net/netfilter/nf_conntrack.ko /lib/modules/2.6.26/kernel/net/netfilter/x_tables.ko
Reinicie o servidor.
Subir o modulo: modprobe xt_layer7
Pessoal,
Se tiverem problemas e o módulo não subir, vai a dica, no caso usando Debian 5.06 lenny.
Alterando configuração do modulo L7:
# cp /lib/modules/2.6.26/kernel/net/netfilter/xt_layer7.ko
/lib/modules/2.6.26-2-686/kernel/net/ipv4/netfilter/xt_layer7.ko
Editando arquivo de módulos:
vim /lib/modules/2.6.26-2-686/modules.dep
Adicone a linha abaixo no final do arquivo:
/lib/modules/2.6.26-2-686/kernel/net/ipv4/netfilter/xt_layer7.ko: /lib/modules/2.6.26-2-686/kernel/net/netfilter/nf_conntrack.ko /lib/modules/2.6.26/kernel/net/netfilter/x_tables.ko
Reinicie o servidor.
Subir o modulo: modprobe xt_layer7
[14] Comentário enviado por Xelito em 20/05/2011 - 18:41h
Pra mim da erro ao executar o comando:
make-kpkg -initrd kernel_image
Aparece a seguinte mensagem:
Unknown option: i
Unknown option: n
Unknown option: i
Unknown option: t
Unknown option: r
Unknown option: d
Ou seja ele nao esta mais reconhecendo o comando initrd
como faço para tentar resolver isso?
Alguem pode me ajudar?
Pra mim da erro ao executar o comando:
make-kpkg -initrd kernel_image
Aparece a seguinte mensagem:
Unknown option: i
Unknown option: n
Unknown option: i
Unknown option: t
Unknown option: r
Unknown option: d
Ou seja ele nao esta mais reconhecendo o comando initrd
como faço para tentar resolver isso?
Alguem pode me ajudar?
[15] Comentário enviado por rick_G em 09/10/2011 - 22:16h
Olá,
não estou conseguindo aplicar o modulo do Debian squeeze,
Alguem pode me ajudar?
Olá,
não estou conseguindo aplicar o modulo do Debian squeeze,
Alguem pode me ajudar?
[16] Comentário enviado por fred.aug em 17/11/2011 - 14:49h
Xelito,
digite o comando desta forma:
make-kpkg --initrd kernel_image
Xelito,
digite o comando desta forma:
make-kpkg --initrd kernel_image
[17] Comentário enviado por smallboy em 26/11/2014 - 12:25h
Possuo um server web cujo nele há instalado diversos tipos de serviços. Kernel dele é 2.6.18 eu consigo instalar o layer 7 no CentOS ?
More one question, Quero bloquear downloads Torrent, p2p principalmente torrent que consome maior parte da banda.
Possuo um server web cujo nele há instalado diversos tipos de serviços. Kernel dele é 2.6.18 eu consigo instalar o layer 7 no CentOS ?
More one question, Quero bloquear downloads Torrent, p2p principalmente torrent que consome maior parte da banda.
Patrocínio
Site hospedado pelo provedor RedeHost.
Destaques
Artigos
Enviar mensagem ao usuário trabalhando com as opções do php.ini
Meu Fork do Plugin de Integração do CVS para o KDevelop
Compartilhando a tela do Computador no Celular via Deskreen
Como Configurar um Túnel SSH Reverso para Acessar Sua Máquina Local a Partir de uma Máquina Remota
Configuração para desligamento automatizado de Computadores em um Ambiente Comercial
Dicas
Compartilhamento de Rede com samba em modo Público/Anônimo de forma simples, rápido e fácil
Cups: Mapear/listar todas as impressoras de outro Servidor CUPS de forma rápida e fácil
Criando uma VPC na AWS via CLI
Tópicos
Tem como instalar o gerenciador AMD Adrenalin no Ubuntu 24.04? (15)
Tenho dois Link's ( IP VÁLIDOS ), estou tentando fazer o failover... (0)
Pendrive não formata de jeito nenhum (4)
Top 10 do mês
-
Xerxes
1° lugar - 70.006 pts -
Fábio Berbert de Paula
2° lugar - 51.460 pts -
Renato Michnik de Carvalho
3° lugar - 27.319 pts -
Buckminster
4° lugar - 17.430 pts -
Mauricio Ferrari
5° lugar - 15.595 pts -
Alberto Federman Neto.
6° lugar - 14.635 pts -
Diego Mendes Rodrigues
7° lugar - 13.956 pts -
Daniel Lara Souza
8° lugar - 14.075 pts -
edps
9° lugar - 12.073 pts -
Andre (pinduvoz)
10° lugar - 11.610 pts
Scripts
A maior comunidade GNU/Linux da América Latina! Artigos, dicas, tutoriais, fórum, scripts e muito mais. Ideal para quem busca auto-ajuda.
Site hospedado por:
