[问题求助]iptables加载Layer7和patch-o-matic-ng的问题---已搞定 [复制链接]

本.帖最后由 errai 于 2010-02-0.2 20:18 编辑              电子

测试很多版本的内核和Layer7的版本，到目.前为止只有两个版本的配合实现了l.ayer7的调用：    健康

linux-2.6.19.7 和netfilter-layer7-.v.2.9的配合实现了layer7

各解包后打补丁：
patc..h -p1 < /usr/src/netfilter-layer7-v2.9/kernel-2.6.1.8-2.6.19-layer7-2.9.patch
之后：

m.ake menuconfig            建材

在：
-> N.etworkin.g                                                .              x              汽车
  x .     . -> Networking support (NET [=y])                         .                x 电影
  x         -> Networkin.g options      .                         .                   x 电脑
  x           -> Networ.k packet filtering (re.places ipchains) (NETFI.LTER [=y])     x              汽车
  x             .-> IP: Netfilter Con.figuration                      .               x           婚庆
. x   .            -> IP tables su.pport (required for filtering/masq/NAT) (IP_NF_IP x <性病>
  x.                 -> Layer 7 match support. (EXPERIMENTAL) (IP_NF_MATCH_LAYER7 .[= x            鲜花

找到了layer7的选项，安装之后，再给iptabl.es打补丁和安装L7后，可以.使用l7进行配置工作。测试命令通过，但没有做工作测试！
其他的内核版本打了补丁之后，试了N多内核版本也没有找这个选.项，也看了netfilter-layer7-v2.20里的README.的说明：电脑
- kernel-2.6.25-layer7-2...20.patch             电子

  This patch is against 2.6.25. It w.ill not work with 2.6.24.x or earl.ier.域名
  Hopefully, it works with future kernel vers.ions (obviously. we don't know yet)...
  This. package will NOT be updated just because a new ke.rnel is released..
  Check http://l7-filter.sourceforge.net/kernelcompat for up-to-date              汽车
  compatibility info.r.mation电影
根据说.明下载了linux-2.6.25.1.tar..bz2  --------------彩票
打补丁后进make .menuconfig 什么发现都没有，有几次，进去居然很多networking的defa.ult选项都是没选，很是郁闷！！！<性病>

cuci, .cgweb, platinum三位大侠帮忙哈...........外贸

还有一个问题，在下载了patch-o-matic-ng-2.0100126.，准备给内核打上这些补丁          婚庆
在给内核打上l7的补丁之后：patch -p1 < /usr/sr.c/netfilter-layer7-v2.9/kernel-2..6.18-2..6.19-layer7-2.9.patch域名
进入pat.ch-o-matic-ng-20100126]#KERNEL_DIR=/usr./src/linux-2.6.25.1 IPTABLES_DIR=/usr/src/new/iptables-1.4.0 ./runme base  准备打上所有patch-o-matic-ng包含的补.丁。另因：iptables新版.出现    健康
/u.sr/src/iptables-1.4.6 .doesn't look li.ke a iptables source code directory to me    美容
故换了低版本。
KE.RNEL_DIR=/usr/src/linux-2.6.25.1 IPTABLES_DIR=/usr/src/iptables-1.4.0/. ./r.unme base.
Loading patchlet definitions. d..one.
Excellent! Source tree.s are ready for compilation..电脑
除了.这个，没有其他提示，应该已经成功！           建材
但是进入menu conf.ig之后，却怎么都找不到类.似：域名
IP: Netfi.lter Co.nfiguration --->电脑
<M> Connections/IP limit ma.tch. support.
这个选项......真是太郁闷了.........也有一些介.绍，打了补丁之后没有编译内核，不过那已经是2...6.11的内核了，在编译了l7之后，没再编译patch-o-matic-ng部分也测试过，无法使用的。.

彻底查找之后在

-> Networking                                                              x
  x       -> Networking support (NET [=y])                                         x
  x         -> Networking options                                                  x
  x           -> Network packet filtering (replaces ipchains) (NETFILTER [=y])     x
             Core Netfilter Configuration  --->
                        <M>   "limit" match support
                        <M>   Multiple port match support
                        <M>   "string" match support

Core Netfilter Configuration  ---> 下找到这些支持的模式，但是，没有打patch-o-matic-ng的时候也有这些选项......郁闷

学习了
  请教楼主一个问题，我昨天做的 iptables + connlimit 从网站上面下载了补丁
为什么使用
[root@station197 patch-o-matic-ng-20100127]# KERNEL_DIR=/usr/src/kernels/2.6.18-53.el5-i686 IPTABLES_DIR=/root/iptables-1.4.0 ./runme --download
就出现一个错误：
Successfully downloaded external patch ACCOUNT
/usr/src/kernels/2.6.18-53.el5-i686 doesn't seem to be a directory  
请教下。。。

问题解决。。。谢谢

楼上的，2.6.23以后的内核已经有limit支持，只要编译下iptables，直接安装即可，当然是1.40以后的版本

另经过测试，N多2.6.20之后的版本在Core Netfilter里：

Core Netfilter Configuration  --->
                        <M>   "limit" match support
                        <M>   Multiple port match support
                        <M>   "string" match support
                        <M>   layer 7 match support
                        <M>   layer 7 out support

有layer7的选项，但是选择了后保存退出
安装之后，还是不支持......真是够衰的...........

cuci, cgweb, platinum三位大侠跑哪去了呢？到这里来晃荡一下哈.....................

本帖最后由 errai 于 2010-02-02 23:16 编辑

等了这么久也没人来回答，真是汗哦......求人不如求己哈.................................

在2.6.20之后的内核，在netfilter的配置以前在ipv4 netfilter configuration中的相当一部分移到了core netfilter configuration中,在core netfilter configuration中配置了state的match之后，另外必须在ip: netfilter configuration中的conntract也选上，否则就会出现invalid argument错误。这个问题，困扰了我很久。这个问题多出现在内核升级之后，对于很多发行版本，由于把所有的feature都编译成了模块，所以不会出现此问题。

之前在core netfilter中选择并且编译完成安装之后，测试layer7 时出现
iptables: Invalid argument

没有仔细去研究，还以为自己编译失败，重新去找新版本测试...........

各位可以参考这个方法去测试一下，如有不当之处，欢迎提出意见！！！