iptables Layer7封不住QQ.........

errai

内核已经打补丁
也有将支持LAYER7编译进去
iptables也已经重新编译。

[root@Gateway /]# echo 1 > /proc/sys/net/ipv4/ip_forward
[root@Gateway /]# /usr/local/sbin/iptables -t mangle -A PREROUTING -m mac --mac-source 00:0c:29:6d:fd:ef -j MARK --set-mark 001
[root@Gateway /]# /usr/local/sbin/iptables -t nat -A POSTROUTING -m mark --mark 001 -j MASQUERADE

将MAC地址的打上MARK 001
并且让001上网，上网OK。

[root@Gateway /]# /usr/local/sbin/iptables -I FORWARD -m mark --mark 001 -m layer7 --l7proto qq -j DROP

其中如下两行是发现上面禁止QQ那行无效后补充的，依然无效，独立使用也无效，QQ依然可以登录，好像没禁止过一样。
[root@Gateway /]# /usr/local/sbin/iptables -I FORWARD -s 10.0.0.99 -m layer7 --l7proto qq -j DROP
[root@Gateway /]# /usr/local/sbin/iptables -t mangle -m mark --mark 001 -I POSTROUTING -m layer7 --l7proto qq -j DROP

[root@Gateway etc]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
DROP       all  --  10.0.0.99            anywhere            LAYER7 l7proto qq
DROP       all  --  anywhere             anywhere            MARK match 0x1 LAYER7 l7proto qq

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
[root@Gateway etc]#

各位有经验的老大给点建议，谢谢

errai

我擦，貌似有顺序，刚调了顺序，好像禁止了

errai

但是在命令行里好像有顺序，写到文件里就不行了....................昏倒

zongg

这个我做过实验,QQ是可以封住的,迅雷是封不住的.

http://blog.chinaunix.net/uid-24250828-id-2621431.html

如果你想做免费的流控,建议上panabit.

errai

我碰到的情况是：

[root@Gateway /]# echo 1 > /proc/sys/net/ipv4/ip_forward
[root@Gateway /]# /usr/local/sbin/iptables -t mangle -A PREROUTING -m mac --mac-source 00:0c:29:6d:fd:ef -j MARK --set-mark 001
[root@Gateway /]# /usr/local/sbin/iptables -I FORWARD -m mark --mark 001 -m layer7 --l7proto qq -j DROP
[root@Gateway /]# /usr/local/sbin/iptables -t nat -A POSTROUTING -m mark --mark 001 -j MASQUERADE

如果在命令行中敲入这几条，就封了QQ，网页可以上

如果写在脚本里，就不行

QQ依然可以登录。

dooros

QQ这东西不好封啊，用户可以用代理走ssh一样能上。