大概是个博客

目标：让Iptables实现ISA Server能实现的功能
公司的那个烂DLINK的路由器实在是太弱了，时不时还死一下机，受不了，于是准备换一台主机来做网关，在以前用ISA的过程中发现很多问题，比如时间只能控制到整点（虽然有人用脚本实现了控制到半小时），无法针对MAC地址来做过滤等等，于是准备用iptables来代替Dlink DI-604LB+。
系统：CentOS 5.5
软件：Iptables 1.4.3，Squid 2.6，netfilter-layer7-v2.22，linux-2.6.28，l7-protocols-2009-05-28
为什么选这几个软件版本，Squid就用的系统自带的，省得麻烦，l7-protocols这已经是最新的了，虽然很多已经失效了，可以自己再去更新。首先得看netfilter-layer7，2.22已经是最新的版本了，再看看它的README，貌似2.6.28就是它支持的最高内核版本，同样，iptable 1.4.3也是它所支持的最新的版本。
首先当然是安装系统，CentOS5.5安装了基本系统和开发库还有开发工具，这两个得选上，后面还有编译内核呢。
Centos5.5的默认内核版本是2.6.18-194.el5PAE，先解压2.6.8内核到/usr/src里
#tar vxjf linux-2.6.28.tar.bz2
再把内核支持七层过滤的补丁netfilter-layer也解压到这个目录
#tar vxzf netfilter-layer7-v2.22.tar.gz
然后给内核打layer7补丁

#cd linux-2.6.28
#patch -p1 < ../netfilter-layer7-v2.22/kernel-2.6.25-2.6.28-layer7-2.22.patch OK，接下来开始编译内核了 #make mrproper #make clean 清除之前编译产生的一些文件，当然，咱这是新系统，不用搞这步，形成习惯也好，我可是重复编译了N次才收手的。 复制系统默认的配置到这里，咱在默认系统的基础上来配置，以前自己配置内核时吃过苦头，有些地方选择或漏选会搞死人的。 #cp /boot/config-2.6.18-194.el5PAE ./.config #make menuconfig 首先呢，改改处理器类型，命名pentium Dual core，还默认选的pentium pro，改成core2的好点。 另外呢，基本配置里面，把kernel .config support编译成模块，下面的子项也选上，这样以后好输出内核.config文件。 再到文件系统配置里把NTFS文件系统支持选成模块，盘上还有NTFS分区呢，顺便把FAT的默认codepage改为936，缺省iocharset改为utf8吧。 最后就是咱编译内核最终的目的网络支持了，进入Networking options下，Qos里面的一些都编译成模块吧，比如TC等以后可能用得到，然后Network packet filtering framework (Netfilter)下Core Netfilter Configuration里，Layer7的支持就在这个里面了，看不到？那就选上Netfilter connection tracking support，这下可以看到下面的"Layer 7" match support了吧？赶快选上，当然，time支持也得选上，最后呢？当然是这个项目下的所有能选的都选为编译成模块啦，省得到以后缺少什么支持的时候再重编译内核。 然后返回上一层，再进入IP:Netfilter Configuration，这个照样，所有都选成模块，好几次都是这里漏选了结果导致iptables没有nat表。 选完了，再可以慢慢悠哉游哉看看其他的选项了，因为CentOS默认的内核是通用支持的，所以很多东西对我们来说是没用的，比如什么dell、东芝笔记本的支持啦，PC卡、无线网卡、蓝牙的支持啦，什么万兆网卡的支持啦，许许多多咱确定用不到的，就把它去掉吧，有些你搞不清楚的东西，最好别动它，否则不知道怎么死的。 设置完，保存配置文件，开始编译内核 #make dep && make -j 2 bzImage && make -j 2 modules && make modules_install && make install 直接一个make可以写下去的，貌似我编译的时候出错了，算了，写多几个没事，回车后就可以去玩玩了，一会回来内核就编译安装完了。 #vi /boot/grub/menu.lst 把默认引导改为新内核，重启，再登录就是新的2.6.28内核的系统了。 再安装iptables 1.4.3 #tar vxjf iptables-1.4.3.tar.bz2 #cd iptables-1.4.3 #cp /usr/src/netfilter-layer7-v2.22/iptables-1.4.3forward-for-kernel-2.6.20forward/libxt_layer7.* ./extensions/ 把iptables的layer7支持文件复制过来，然后编译安装iptables #./configure --with-ksource=/usr/src/linux-2.6.28/ --prefix=/sbin 指定一下安装目录吧，不然系统会默认安装到/usr/local/sbin下了，之前就是不知道，就形成了两个版本的iptables共存的结果，导致脚本运行跟手动输入命令使用的版本不一样，这里不指定还可以在安装好之后把/usr/local/sbin下的文件复制到/sbin目录去也行。 #make #make install 很快就安装完了，可以运行iptables -v查看一下iptables版本。 然后安装layer7的协议文件 #tar vxzf l7-protocols-2009-05-28.tar.gz #cd l7-protocols-2009-05-28 #make install 直接安装，也就是复制一个目录到/etc/下。 这时候iptables就可以使用layer7匹配了。