Chinaunix

标题: 关于在桥接模式下l7filter过滤的问题? -附使用脚本 [打印本页]

作者: codystar 时间: 2006-12-14 12:20
标题: 关于在桥接模式下l7filter过滤的问题? -附使用脚本
请问各位高手，在NAT模式下使用l7filter模块进行过滤都没问题，现在问题出现在如果我改用双网卡做bridge，其他规则和过滤都能生效，好象就是这个l7filter模块过滤不起任何作用，用iptables-save 查看也没发现抓到任何数据包，始终是0。大家有没有什么好方法。虽然说bridge是2层的概念，但是我觉得应该也跟3层有关系。

我的部分脚本.谢谢各位

#CLEAR FIRWALL RULE
${IPTABLES} -F
${IPTABLES} -t mangle -F
${IPTABLES} -t nat -F

#RESETTING DEFAULT POLICY
${IPTABLES} -P OUTPUT ACCEPT
${IPTABLES} -P INPUT DROP
${IPTABLES} -P FORWARD DROP

#PERMIT POLICY
${IPTABLES} -A INPUT -i lo -p tcp -j ACCEPT
${IPTABLES} -A INPUT -p icmp -j ACCEPT
${IPTABLES} -A INPUT -p tcp --dport 22 -j ACCEPT
${IPTABLES} -A INPUT -p tcp --sport 22 -j ACCEPT
${IPTABLES} -A INPUT -p gre -j ACCEPT
${IPTABLES} -A FORWARD -p icmp -j ACCEPT
${IPTABLES} -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
${IPTABLES} -A FORWARD -p tcp -m multiport --port 80,1494,1723,3389 -j ACCEPT
${IPTABLES} -A FORWARD -p udp -m multiport --port 53 -j ACCEPT
${IPTABLES} -A FORWARD -m layer7 --l7proto exe -j DROP
${IPTABLES} -A FORWARD -m layer7 --l7proto nimda -j DROP
${IPTABLES} -A FORWARD -m layer7 --l7proto dhcp -j DROP

作者: codystar 时间: 2006-12-14 20:15
标题: 难道没有人碰到过吗？
白金大哥能帮忙解释一下吗？

作者: platinum 时间: 2006-12-14 20:47
内核？

作者: codystar 时间: 2006-12-16 23:56
标题: 现在用的内核是2.6.18.2的
现在用的内核是2.6.18.2的,有什么问题吗? 白金大哥有试验成功么?

作者: platinum 时间: 2006-12-17 00:19
2.6 内核在桥模式上在 netfilter 里的实现与 2.4 内核不同，好像这样做是不行的。。。。

作者: codystar 时间: 2006-12-17 13:49
标题: 那请教白金大哥了该怎么实现呢？
那请教白金大哥了该怎么实现呢？我在google上找到有人实验成功的。不知道白大哥是如何成功的？

作者: platinum 时间: 2006-12-17 15:27
还没实现过。。。。

作者: codystar 时间: 2006-12-17 16:00
标题: 谢谢啊，等研究成功了告诉你
谢谢啊，等研究成功了告诉你

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)