RHEL5, l7-filter不能阻断QQ协议

sdtcf

回复 18# zongg


   难道是l7匹配规则有遗留？
第一次检查qq的时候发现没有阻断规则就放行，后续的就一直放行；重启网络后，第一个包匹配到了阻断规则后续的就阻断了？

chenyx

1. iptables -I FORWARD -m layer7 --l7proto qq -j DROP

复制代码

你是将这个放到第一个规则吗?

sdtcf

回复 22# chenyx


    是的，filter表饿mangle表都清空了后设置的

chenyx

没看到你的filter链forward有qq的规则啊
你试试在iptables -t mangle -A FORWARD -m layer7 --l7proto qq -j DROP后面添加
iptables -t mangle -A FORWARD -m layer7 --l7proto qq -j RETURN

sdtcf

回复 24# chenyx


    添加的规则在那个表中，是看-t 后的表名称（如果没这个参数默认是filter表中），我的指令中  -t mangle，所以这条规则添加到mangle表中了，查看指令用这个：iptables -t mangle -L


RETURN一般是跳过下面的规则用的，据说能提高效率，我测试的时候只有一条规则，所以这个加不加没啥影响

chenyx

看你在14楼给的操作,没有对filter里面的forward添加规则.

chenyx

我在24楼给你的规则测试过没有?

sdtcf

回复 27# chenyx

测试过，还是那样，qq如果在设置规则前登陆了，规则不起作用


我的防火墙规则列表（mangle表）
    [root@tcf linux-2.6.28.8]# iptables -t mangle -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DROP       all  --  anywhere             anywhere            LAYER7 l7proto qq
RETURN     all  --  anywhere             anywhere            LAYER7 l7proto qq

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

chenyx

你在iptables -L -nv查看下filter链里面forward规则生效了没有