Incrementando seu Firewall com o Layer 7 Filter

Neste artigo demonstro como compilar, instalar e utilizar o L7 Filter, um filtro de pacotes que se baseia no protocolo da aplicação utiliza.

fpires

Por Fabiano em 26/04/2006

Hits: 147.003 Categoria: Linux Subcategoria: Firewall

Parte 3: Descompactando, compilando e instalando

Para facilitar, vamos descompactar todos os arquivos em /usr/src.

# tar -zxvf netfilter-layer7-vX.X.X.tar.gz -C /usr/src
# tar -zxvf l7-protocols-YYYY_MM_DD.tar.gz -C /usr/src
# tar -jxvf iptables-1.X.XX.tar.bz2 -C /usr/src
# tar -jxvf linux-2.6.XX.tar.bz2 -C /usr/src

(se você estiver utilizando a versão do kernel de www.kernel.org)

OBS: É necessário que as coisas sejam feitas nesta ordem.

3.1) Patch do kernel (aqui vou considerar que você já possui os fontes do seu kernel no diretório /usr/src/linux-2.6.xx e que um link simbólico de nome /usr/src/linux aponta para este diretório).

Entre no diretório /usr/src/linux e execute o seguinte comando:

# patch -p1 < ../netfilter-layer7-vX.X.X/kernel-2.6-layer7-X.X.X.patch

Após isso, você deve habilitar algumas coisas no kernel:

Em "Device Drivers -> Networking support -> Networking options" marque a opção "Network packet filtering". Depois entre nela e em "Netfilter Configuration" e marque "Layer 7 match support". Você provavelmente vai querer marcar outras opções, ou talvez todas elas.
Se você pretende utilizar o CBQ ou o HTB para limitação de banda (eu utilizo o HTB), você deve verificar se eles estão selecionados em "Device Drivers -> Networking support -> Networking options -> QoS and/or fair queueing". Aqui eu tenho todas as opções selecionadas.
Opcionalmente você pode editar o arquivo Makefile do Kernel e na linha EXTRAVERSION você acrescenta a um texto sugestivo (como L7 ou algo assim ...). Esse texto vai aparecer junto da versão do Kernel quando você digitar "uname -r".

Feito isso, compile e instale o novo kernel. Não vou entrar em detalhes aqui sobre como fazer isso, pois isso fugiria do escopo do artigo e já há muita documentação sobre isso na Internet.

3.2) Patch do iptables

Entre no diretório /usr/src/iptables-1.X.XX e execute o seguinte comando:

# patch -p1 < ../netfilter-layer7-vX.X.X/iptables-layer7-X.X.X.patch

Compile o iptables com o comando:

Conectiva:

# make BINDIR=/usr/bin LIBDIR=/usr/lib MANDIR=/usr/man

Debian Sarge:

# make BINDIR=/sbin LIBDIR=/lib MANDIR=/usr/share/man

e instale com o comando:

Conectiva:

# make BINDIR=/usr/bin LIBDIR=/usr/lib MANDIR=/usr/man install

Debian Sarge:

# make BINDIR=/sbin LIBDIR=/lib MANDIR=/usr/share/man install

3.3) Arquivos de definições de protocolos

Entre no diretório /usr/src/l7-protocols-YYYY_MM_DD e digite o comando:

# make install

Isso vai criar um diretório /etc/l7-protocols e copiar os arquivos para lá. Simples não? Quando for atualizar as definições basta repetir estes passos (descompactar o arquivo com as definições atualizadas, entrar na pasta e executar "make install").

Páginas do artigo

   1. Introdução
   2. Arquivos necessários
   3. Descompactando, compilando e instalando
   4. Testando e exemplos
   5. Bibliografia e leituras recomendadas

Outros artigos deste autor

Nenhum artigo encontrado.

Leitura recomendada

IPset - Bloqueie milhares de IPs com o iptables

Firewall profissional

Automatizando Firewall com IDS Snort e SnortSam

Fusion Firewall - Uma alternativa para Firewall-Proxy gerenciado via web

Iptables + módulo recent

Comentários

#1 Comentário enviado por davidsonbhz em 26/04/2006 - 09:30h

Ja tinha lido algo a respeito do L7 mas faltava alguma coisa em portugues pra ajudar. Muito bom!

#2 Comentário enviado por herloncamargo em 26/04/2006 - 10:53h

Utilizo o Layer7 há mais de um ano. Bloqueio quase todos os protocolos, com excessão do Skype. O L7 só bloqueia versões antigas do Skype. Alguém já conseguiu bloquear as versões recentes do Skype com o L7? Se conseguiu, como?

#3 Comentário enviado por balani em 26/04/2006 - 11:56h

Alguem sabe me dizer se há uma maneira mais facil e eficiente de bloquear o orkut?

#4 Comentário enviado por rjacomel em 26/04/2006 - 16:26h

Já havia implementado o Layer7 e recomendo...

#5 Comentário enviado por patrickbrandao em 26/04/2006 - 16:55h

Olá Fabiano,

eu trabalho muito com iptables, e preciso de uma solução:

o l7, modulo string, entre outros, sao capazes de detectar o pacote que contem uma palavra/frase/expressao regular, porem preciso que, apos identificar um pacote, a conexao TCP inteira fique na regra, ou seja:

iptables -A FORWARD -m string --string 'X-Owner' -j ACCEPT

Apenas o primeiro pacote que contem o cabecalho X-Owner sera positivo nessa regra, os demais pacotes da conexao nao, preciso que os demais pacotes entrem na regra, ou sejam lembrados de alguma maneira, para que eu possa dar tratamento diferenciado a eles.

Se voce conhece ou tem alguma sugestao, agradeço!
abraços

#6 Comentário enviado por leandromoreirati em 26/04/2006 - 18:16h

Cara vc so cometeu um pecado, avisar que o layer7 no kernel da família 2.6 so roda mas versões 2.6.13 a 2.6.15. Eu testei as versoes ora kernel antigo (old kernel e deram muito pau) quando apliquei no 2.6.14 resolveu o meu problema. Apliquei em 2 firewalls de produção uma rodando Debian e outro Slackware.

#7 Comentário enviado por leandromoreirati em 26/04/2006 - 18:36h

Eu tenho tido mto problema com o string estou usando o iptables 1.3.5, será que pode ser a versao do iptables que eu to compilando? Olha so o que acontece quando eu aplico uma regra:

# iptables -A INPUT -m string --string "X-Owner" -j DROP
iptables v1.3.5: STRING match: You must specify `--algo'
Try `iptables -h' or 'iptables --help' for more information

ele me pede esse " --algo" e nao faço a mínima idéia do que seja. Algume pode me dar uma ideia.

#8 Comentário enviado por paulinholinux em 26/04/2006 - 23:06h

Cara ....

Nossa esse artigo veio em hora certinha ....

eu mandei a pouco uma duvida pra lista de discução do fedora sobr como implementar o L7, pois nao estava conseguindo. Agora só uma coisa, eu tenho rodando um servidor gateway com fedora3 (estou para migrando-o pra fedora 5 este final de semana), será qe vc sabe se tenho mesmo qe compilar o kernel? nao exite nenhum pacote .rpm qe aplique isso ao kernel?

se eu precisar mesmo compilar o kernel, vc me indicaria um bom tutorial pra o meu caso (compilação de kernel no fedora core, pois sempre qe me arrisco a compilar o kernel da pau)

Muito obrigado e parabéns pelo artigo.

Té mais

Paulinholinux
<<-_->>

#9 Comentário enviado por fpires em 30/04/2006 - 10:42h

Danger Will Robinson !!
Encontrei um erro no Tutorial:

Onde está escrito

----Inicio ------
Entre no diretório /usr/src/iptables-1.X.XX e execute o seguinte comando:

# patch -p1 < ../netfilter-layer7-vX.X.X/iptables-layer7-X.X.X.patch

Compile o iptables com o comando:

---- Fim ------

Deveria estar escrito:

----- Inicio ------
Entre no diretório /usr/src/iptables-1.X.XX e execute o seguinte comando:

# patch -p1 < ../netfilter-layer7-vX.X.X/iptables-layer7-X.X.X.patch

e execute o seguinte comando: chmod +x extensions/.layer7-test

Compile o iptables com o comando:

---- Fim ------

Caso contrário o iptables vai compilar SEM o suporte ao Layer 7.
Tem como editar isso no artigo?

#10 Comentário enviado por fpires em 30/04/2006 - 10:54h

Paulinho, até onde eu sei é necessário compilar o kernel e o iptables sim. Nunca ouvi falar de nenhuma distro que venha com suporte nativo ao projeto.

#11 Comentário enviado por agk em 04/05/2006 - 13:54h

Ótimo artigo, excelente para ampliar as funcionalidades do IPTABLES.
Só tenho uma dúvida, tem como bloquear os Web Messengers da vida com isso?

#12 Comentário enviado por fpires em 10/05/2006 - 21:35h

Não, Web Messengers rodam em cima do protocolo HTTP e devem ser bloqueados com o squid ou outro proxy.

#13 Comentário enviado por agk em 15/05/2006 - 22:13h

Com squid é praticamente impossível bloquear os WEB Messengers, são tantos e a cada dia surgem mais e mais. Pensei que talvez com iptables mais alguns módulos fosse possível ler o conteúdo dos pacotes e bloqueá-los.
Com squid é possível sim, quando se tem uma rede pequena com poucos usuários, mas imagine 3 mil usuários, onde cerca de 500 acessam todos os dias o dia todo, são milhões de linhas de log's para conferir em busca do malditos web messengers. E como disse, quanto mais se bloqueia, mais Web msn surgem.
Estou pensando seriamente em começar a punir os usuários aos invés de bloquear os sites. :-)

#14 Comentário enviado por tuxlinuxbr2 em 03/10/2006 - 16:53h

consegui bloquear o MSN o squid asssim:
# ACLS
acl msnmessenger url_regex -i gateway.dll
acl MSN req_mime_type -i ^application/x-msn-messenger$
acl MSN_DOM dstdomain loginnet.passport.com
acl MSN_DOM dstdomain webmessenger.msn.com

#Liberacao individual MSN
acl liberal src "/etc/squid/listas/libera_msn"

#Regra Bloqueio MSN
http_access deny horacom MSN !liberal
http_access deny horacom msnmessenger !liberal
http_access deny horacom MSN_DOM !liberal

esse "liberal" voce cria um arquivo com os IP's que voce deseja que possam usar o MSN.

abraços,

#15 Comentário enviado por pedrohc em 19/03/2007 - 15:01h

Ola se eu ja tiver o iptables instalado... eh somente instalar o L7?
no make e make install?
ou precisa de mais alguma configuraçao?

#16 Comentário enviado por fpires em 19/03/2007 - 16:57h

Não, mesmo assim vc precisa do iptables, porque precisa aplicar um patch nele. Agora, há uma versão nova do L7 que não precisa de patch no kernel nem no iptables. Assim que tiver um tempo, vou preparar um tuto sobre ele.

#17 Comentário enviado por claudio.-.rodrig em 24/04/2008 - 16:19h

Olá amigo,

Estou precisando implementar o Layer7 urgente, possuo o kernel-2.6.15-26-server, distruição ubuntu, versão iptables 1.3.3.

Eu preciso recompilar o kernel, mesmo tendo o 2.6?

Abraços,
Claudio R

#18 Comentário enviado por fpires em 25/04/2008 - 03:03h

Para essa versão do L7 sim, vc precisa recompilar o Kernel, porque o L7 não está incluso na ávore principal do Kernel, mas existe uma versão dele (que pretendo fazer um tutorial sobre elea) que roda em userspace e não precisa de recompilar o kernel (apenas compilar o programa). De uma olhadinha na página do projeto.

#19 Comentário enviado por jardineti em 16/09/2008 - 11:06h

Olá meu servidor funcionou perfeitamente, só gostaria de saber como desabilitar os logs que ficam aparecendo na tela.
Obrigado.

#20 Comentário enviado por Hellfire em 30/10/2008 - 18:26h

pessoal, estou tendo problemas com a compilação do iptables.
eu apliquei o patch do l7 ao iptables
dei um # make configure : executou sem problemas;
mas quando dou um # make ou # make install, aparece seguinte erro:
Making install in extensions
make[1]: Entering directory `/usr/src/iptables-1.4.2/extensions'
CC libxt_esp.oo
libxt_esp.c: In function `parse_esp_spi':
libxt_esp.c:37: error: `ERANGE' undeclared (first use in this function)
libxt_esp.c:37: error: (Each undeclared identifier is reported only once
libxt_esp.c:37: error: for each function it appears in.)
make[1]: ** [libxt_esp.oo] Erro 1
make[1]: Leaving directory `/usr/src/iptables-1.4.2/extensions'
make: ** [install-recursive] Erro 1

não faço ideia de como resolver isso, alguém pode me ajudar?

#21 Comentário enviado por blade_ander em 27/12/2010 - 11:09h

Pessoal,

Se tiverem problemas e o módulo não subir, vai a dica, no caso usando Debian 5.06 lenny.

Alterando configuração do modulo L7:
# cp /lib/modules/2.6.26/kernel/net/netfilter/xt_layer7.ko
/lib/modules/2.6.26-2-686/kernel/net/ipv4/netfilter/xt_layer7.ko

Editando arquivo de módulos:

vim /lib/modules/2.6.26-2-686/modules.dep

Adicone a linha abaixo no final do arquivo:

/lib/modules/2.6.26-2-686/kernel/net/ipv4/netfilter/xt_layer7.ko: /lib/modules/2.6.26-2-686/kernel/net/netfilter/nf_conntrack.ko /lib/modules/2.6.26/kernel/net/netfilter/x_tables.ko

Reinicie o servidor.

Subir o modulo: modprobe xt_layer7

Parte 3: Descompactando, compilando e instalando

Páginas do artigo

Outros artigos deste autor

Leitura recomendada

Comentários

Contribuir com comentário