l7-filter-usespace收不到iptables的QUEUE

digex

最近在探索l7-filter-userspace，使用包里默认的配置文件，在执行l7-filter -f <configfile> -v -v -v -v 以后输出：

1. 
   
2. unbinding existing nf_queue handler for AF_INET (if any)
   
3. binding nfnetlink_queue as nf_queue handler for AF_INET
   
4. binding this socket to queue '0'
   
5. setting copy_packet mode
   

复制代码

然后就停止不动，看了下程序，是在void l7_queue::start(int queuenum) 中阻塞：

1. 
   
2. ...
   
3.   l7printf(3, "setting copy_packet mode\n");
   
4.   if(nfq_set_mode(qh, NFQNL_COPY_PACKET, 0xffff) < 0) {
   
5.     cerr << "can't set packet_copy mode\n";
   
6.     exit(1);
   
7.   }
   
8. 
   
9.   nh = nfq_nfnlh(h);
   
10.   fd = nfnl_fd(nh);
    
11. 
    
12.   // this is the main loop
    
13.   while (true){
    
14.     while ((rv = recv(fd, buf, sizeof(buf), 0)) && rv >= 0)
    
15.       nfq_handle_packet(h, buf, rv);
    
16. ...
    

复制代码

即recv()函数阻塞，我的理解是l7-filter没有受到iptables发过来的封包；
又查了半天iptables的配置，因为之前没怎么接触过，还是没有头绪，以下是iptables的配置：

1. 
   
2. [root@fedora7 sysconfig]# vi /etc/sysconfig/iptables
   
3. # Firewall configuration written by system-config-securitylevel
   
4. # Manual customization of this file is not recommended.
   
5. *filter
   
6. :INPUT ACCEPT [0:0]
   
7. :FORWARD ACCEPT [0:0]
   
8. :OUTPUT ACCEPT [0:0]
   
9. -A FORWARD -j NFQUEUE
   
10. COMMIT
    
11. *mangle
    
12. :PREROUTING ACCEPT [0:0]
    
13. :INPUT ACCEPT [0:0]
    
14. :FORWARD ACCEPT [0:0]
    
15. :OUTPUT ACCEPT [0:0]
    
16. :POSTROUTING ACCEPT [0:0]
    
17. COMMIT
    
18. 
    
19. [root@fedora7 sysconfig]# iptables -L
    
20. Chain INPUT (policy ACCEPT)
    
21. target     prot opt source               destination         
    
22. 
    
23. Chain FORWARD (policy ACCEPT)
    
24. target     prot opt source               destination         
    
25. NFQUEUE    0    --  anywhere             anywhere            NFQUEUE num 0
    
26. 
    
27. Chain OUTPUT (policy ACCEPT)
    
28. target     prot opt source               destination         
    

复制代码

日志文件中有类似输出：

1. 
   
2. Jan 30 16:20:28 fedora7 kernel: ip_tables: (C) 2000-2006 Netfilter Core Team
   
3. Jan 30 16:23:09 fedora7 kernel: ip_conntrack version 2.4 (4090 buckets, 32720 max) - 196 bytes per conntrack
   
4. Jan 30 16:23:09 fedora7 kernel: ctnetlink v0.90: registering with nfnetlink.
   

复制代码

机器有两个网卡：

1. 
   
2. 
   
3. [root@fedora7 sysconfig]# ifconfig -a
   
4. eth0      Link encap:Ethernet  HWaddr 00:08:A1:05:24:B5  
   
5.           inet addr:192.168.5.200  Bcast:192.168.5.255  Mask:255.255.255.0
   
6.           inet6 addr: fe80::208:a1ff:fe05:24b5/64 Scope:Link
   
7.           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
   
8.           RX packets:208405 errors:0 dropped:0 overruns:0 frame:0
   
9.           TX packets:40379 errors:0 dropped:0 overruns:0 carrier:0
   
10.           collisions:0 txqueuelen:1000
    
11.           RX bytes:23832515 (22.7 MiB)  TX bytes:15146954 (14.4 MiB)
    
12.           Interrupt:11 Base address:0xd800
    
13. 
    
14. eth1      Link encap:Ethernet  HWaddr 00:08:A1:05:22:9F  
    
15.           inet addr:192.168.5.254  Bcast:192.168.5.255  Mask:255.255.255.0
    
16.           inet6 addr: fe80::208:a1ff:fe05:229f/64 Scope:Link
    
17.           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
    
18.           RX packets:6785040 errors:0 dropped:0 overruns:0 frame:0
    
19.           TX packets:823 errors:0 dropped:0 overruns:0 carrier:0
    
20.           collisions:0 txqueuelen:1000
    
21.           RX bytes:3537398437 (3.2 GiB)  TX bytes:41836 (40.8 KiB)
    
22.           Interrupt:9 Base address:0xd400
    
23. 
    
24. lo        Link encap:Local Loopback  
    
25.           inet addr:127.0.0.1  Mask:255.0.0.0
    
26.           inet6 addr: ::1/128 Scope:Host
    
27.           UP LOOPBACK RUNNING  MTU:16436  Metric:1
    
28.           RX packets:4138 errors:0 dropped:0 overruns:0 frame:0
    
29.           TX packets:4138 errors:0 dropped:0 overruns:0 carrier:0
    
30.           collisions:0 txqueuelen:0
    
31.           RX bytes:23549732 (22.4 MiB)  TX bytes:23549732 (22.4 MiB)
    
32. 
    

复制代码

其中eth0是交换机镜像输出的端口(不过也可以从该地址登录上来)，eth1是控制端口，也可以从该地址登录上来。

各位帮我看看问题大概出在那一步？谢谢。

[ 本帖最后由 digex 于 2008-1-30 16:35 编辑 ]

digex

自顶.iptables-1.3.7,l7-filter-userspace-v0.4 ,操作系统，Linux fedora7 2.6.21 #1 SMP Mon Jan 28 16:02:43 CST 2008 i686 i686 i386 GNU/Linux

digex

参照http://l7-filter.sourceforge.net/HOWTO-userspace
For Linux 2.6.20 and newer, Netfilter has new "Layer 3 Independent Connection tracking" which l7-filter is not yet compatible with (mostly due to lack of library support from libnetfilter_conntrack). While the old layer 3 dependent connection tracking is still available, it is not selected by default, so you will probably need to recompile your kernel with it. In the Linux kernel config, go to Networking → Networking options → Network packet filtering framework (Netfilter) → Core Netfilter Configuration. Under "Netfilter connection tracking support", select "Layer 3 Dependent Connection tracking (OBSOLETE)". Then go to Networking → Networking options → Network packet filtering framework → IP: Netfilter Configuration" and enable "Connection tracking netlink interface" (and probably most of the rest of the stuff on that page). This is a pain in the ass, sorry!
将该页里的模块全部选中，重新编译下内核就好了。

platinum

内核不支持 netlink 吧？

digex

将 Networking → Networking options → Network packet filtering framework → IP: Netfilter Configuration" 页面里全部选项选中以后，重新编译了下内核就可以了。
iptables -A FORWARD -j NFQUEUE 发现l7-filter受到的包很少，增加了
iptables -A INPUT -i eth1 -j NFQUEUE，l7-filter受到的包倒是多很多，
不过识别的好像不太理想，配置文件：
msn-filetransfer        55
msnmessenger    56
qq      68
xunlei  110
skypeout        78
skypetoskype    79
ssh     87
telnet  94
tftp    96
bittorrent      16
dhcp    24
dns     26
edonkey 28
ftp     32
http    43
jabber  49
pop3    67
sip     77
识别的有dhcp dns edonkey qq skypeout skypetoskype。
这是通过l7-filter -v -v -v -v 输出日志里的 “matched dhcp”之类的信息来判断，不知道是否准确。
还有下一步该做什么工作？