基于L7filter的内容过滤审计实现，不知道这样是否可行？

flyfeel

目前有一个需求，就是通过L7 filter先将几个常用协议分类（如HTTP，FTP，SMTP，POP3等），再通过iptables将对应的目标流转到相应的自定义端口上，这些端口上有自定义程序来监听处理，从而实现基于内容的审计和过滤功能。
基本流程如下：
流量->netfilter->L7 filter匹配分类->iptables转发->ICAP SERVER(基于内容的过滤审计)->Squid->wan
大概思路是这样，不知道这样是否可行？希望各位给点意见。

另外一直没动过iptables，这次才开始学，如何通过iptables的规则来讲目标流转到自定义的服务监听端口呢？（127.0.0.1:88888）
目前只知道通过如下规则可以将http流量DROP掉，但如何将该条符合http的流量转给“127.0.0.1:88888”呢？

1. iptables -t mangle -I PREROUTING -m layer7 --l7proto http -j DROP

复制代码

瀚海书香

回复 1# flyfeel

流量->netfilter->L7 filter匹配分类->iptables转发->ICAP SERVER(基于内容的过滤审计)->Squid->wan
大概思路是这样，不知道这样是否可行？希望各位给点意见。

这种设计是可行的，而且一般最初的设计思想也是快速利用现有资源出一个成果。

但是由于中间环节太多，过多的重复工作导致性能低下；依赖太多第三方开源实现，当需要变化时改动成本较高。
   

flyfeel

多谢版主的回复。
现在只是在做技术的预言工作，暂时先对性能的要求较低。
另外我想在问一下，如果利用iptables规则将L7匹配的分类流程，能快速的转发给我自己的程序呢？

瀚海书香

回复 3# flyfeel

如果利用iptables规则将L7匹配的分类流程，能快速的转发给我自己的程序呢？

这个方案有很多的，比如：L7规则负责mark，利用nfqueue机制将mark的数据包转发到应用层程序处理。