(十三)洞悉linux下的Netfilter&iptables：为防火墙增添功能模块【实战】

向右看齐 2023-05-22 04:50 16阅读 0赞

为netfilter/iptables增添新功能模块：ipp2p

一个防火墙功能模块包含两部分：内核空间的ko模块和用户空间的so模块。如下：

[![format_png][]][format_png 1]

而且文件的命令都非常有讲究。例如我们有个模块名叫AAA，那么内核中该模块的文件名一般为ipt\_AAA.c和ipt\_AAA.h；对应的用户空间模块叫libipt\_AAA.c。今天我通过简单的向防火墙添加ipp2p扩展功能模块的例子，向大家展示一下相关操作和注意事项。

下载ipp2p源码：http://www.ipp2p.org/

最新版的[ipp2p-0.8.2.tar.gz][]支持的内核2.6.17，iptables支持1.3.1。不过这个不影响，我们稍对其源文件进行修改就可以适应我们2.6.21平台了。修改后的源码从“[![zip.gif][]![uploading.4e448015.gif][]转存失败![zip.gif][] ipp2p-0.8.2.zip ][zip.gif_uploading.4e448015.gif_zip.gif_ipp2p-0.8.2.zip]”下载。

下载后对其解压，然后进到ipp2p目录下。接下来有两种方式来编译模块：

1、  直接在该目录下执行make。（备注：该目录下的Makefile我已经改过了）

执行完make后ipt\_ipp2p.ko和libipt\_ipp2p.so就都生成了。

chmod x ipt\_ipp2p.ko

2、  依次按下列步骤来操作：

仍然是在ipp2p-0.8.2解压目录里，我系统中如下：

[![format_png 2][]][format_png 2 1]

然后将每个文件拷贝到对应的目录下：

[![format_png 3][]][format_png 3 1]

在我机器上，内核源码在/usr/src/linux-2.6.21，iptables源码在/usr/src/iptables-1.4.0目录下。

接下来修改/usr/src/linux-2.6.21/net/ipv4/netfilter/ipt\_ipp2p.c文件：

[![format_png 4][]][format_png 4 1]

同样修改/usr/src/iptables-1.4.0/extensions/libipt\_ipp2p.c文件如下：

[![format_png 5][]][format_png 5 1]

接换到内核源码目录/usr/src/linux-2.6.21目录下

先备份net/ipv4/netfilter/目录下原来的Makefile文件，然后照着下面自己写个新的Makefile。如下所示：

[![format_png 6][]][format_png 6 1]

ipt\_ipp2p.ko就已经编译出来了，加上执行权限后将其拷贝到/lib/modules/2.6.21目录里。

最后编译用户空间的so模块，进入到/usr/src/iptables-1.4.0：

![23069658\_13382014853sOU.jpg][23069658_13382014853sOU.jpg]![uploading.4e448015.gif][]转存失败重新上传取消[![23069658_13382014853sOU.jpg][]][23069658_13382014853sOU.jpg]

因为我系统中有两个版本的iptables 1.3.5和1.4.0，其中1.3.5的库文件位于/lib/iptables目录；1.4.0我将其放置在/lib/iptables-1.4.0/iptables目录。

最后我们来使用一下ipp2p模块，执行iptables -m ipp2p -h应该可以看到下列提示：

[![format_png 7][]][format_png 7 1]

加载ipp2p内核模块：

insmod /lib/modules/2.6.21/kernel/net/ipv4/netfilter/ipt\_ipp2p.ko

[![format_png 8][]][format_png 8 1]

总结，虽然方法一干净利落，犀利快捷，可是不利于我们理解netfilter/iptables代码的组织架构。方法二虽然麻烦，但学的知识更多些。大家各取所需吧。

网上还流传另外一种通过补丁包的方式来为iptables扩展功能模块，这里我简单提一下，因为那玩意儿更easy。一般是到[ftp://ftp.netfilter.org/pub/patch-o-matic-ng/][ftp_ftp.netfilter.org_pub_patch-o-matic-ng]下载对应的补丁文件，在本地将其解压后进入补丁文件夹，一般执行：./runme ipp2p，然后根据提示输入一些配置路径就OK了。它会自动帮你完成文件的拷贝，Makefile的修改，很方便。感兴趣的朋友可以去试一下。

未完，待续…

[format_png]: /images/20230521/c035be9c7b4c4a008b523a305c60b4b9.png
[format_png 1]: http://blog.chinaunix.net/attachment/201205/28/23069658_13382014615pGr.jpg
[ipp2p-0.8.2.tar.gz]: http://www.ipp2p.org/downloads/ipp2p-0.8.2.tar.gz
[zip.gif]: http://blog.chinaunix.net/blog/image/attachicons/zip.gif
[uploading.4e448015.gif]: https://csdnimg.cn/release/mp/img/uploading.4e448015.gif
[zip.gif_uploading.4e448015.gif_zip.gif_ipp2p-0.8.2.zip]: http://blog.chinaunix.net/attachment/attach/23/06/96/5823069658f49aafa4e3deedaa01ad927bbbbff1fb.zip
[format_png 2]: /images/20230521/791a4549d4184e7192013a5e1fbaa24b.png
[format_png 2 1]: http://blog.chinaunix.net/attachment/201205/28/23069658_1338201463gNBp.jpg
[format_png 3]: /images/20230521/d9024011037a4789b4e84172902609fc.png
[format_png 3 1]: http://blog.chinaunix.net/attachment/201205/28/23069658_13382014678Laa.jpg
[format_png 4]: /images/20230521/8ae2501dc161411d8b1457c58ce94caf.png
[format_png 4 1]: http://blog.chinaunix.net/attachment/201205/28/23069658_1338201471mIS5.jpg
[format_png 5]: /images/20230521/ad9cdde6ecfc42d0b4dd80799c75d238.png
[format_png 5 1]: http://blog.chinaunix.net/attachment/201205/28/23069658_1338201475aPY6.jpg
[format_png 6]: /images/20230521/65311f190ce04904b930bf1ccf8f94f1.png
[format_png 6 1]: http://blog.chinaunix.net/attachment/201205/28/23069658_1338201480M2jR.jpg
[23069658_13382014853sOU.jpg]: http://blog.chinaunix.net/attachment/201205/28/23069658_13382014853sOU.jpg
[format_png 7]: /images/20230521/50120bfc3e7744c3af15ae00d3339734.png
[format_png 7 1]: http://blog.chinaunix.net/attachment/201205/28/23069658_1338201491lZol.jpg
[format_png 8]: /images/20230521/52d9d5e907cd44019a6a5462085c8c9d.png
[format_png 8 1]: http://blog.chinaunix.net/attachment/201205/28/23069658_1338201497Zszc.jpg
[ftp_ftp.netfilter.org_pub_patch-o-matic-ng]: ftp://ftp.netfilter.org/pub/patch-o-matic-ng/