Bekijk de volledige versie : Поддержка l7-filter в прошивке энтузиастов
Доброго времени суток. Имею интернет через PPPoE. Помогите пожалуйста решить проблему, с ограничением торрентов. Установил клиент торрентов с помошью скрипта комрада gostest (http://wl500g.info/showthread.php?t=15266). Все качается отлично, но мне необходимо что бы rtorrent качал только с внутренней сети (допустим 172.16.0.0/12), то биш при попытке скачать из внешней сети запросы резались. В идеале, что бы у роутера был закрыт доступ в интернет. Попробовал настроить iptables - ничего не вышло.
Доброго времени суток. Имею интернет через PPPoE.
В идеале, что бы у роутера был закрыт доступ в интернет. Попробовал настроить iptables - ничего не вышло.Прежде всего настройте таблицу роутинга:
/sbin/route add -net 172.16.0.0/12 gw IP.адрес.WAN.интерфейса
А уж потом iptables...
Прежде всего настройте таблицу роутинга:
Вы меня не совсем поняли, PPPoE поднимается самим роутером, соответственно все маршруты там прописаны и у роутера есть полный доступ в интернет.
Вы меня не совсем поняли, PPPoE поднимается самим роутером, соответственно все маршруты там прописаны и у роутера есть полный доступ в интернет.Прекрасно понял. У меня - точно так же. Инет - по ппп0 на роутере, а локалка провайдера осталась на WAN интерфейсе (vlan1). После поднятия ппп - путь по-умолчанию автоматически перенастраивается на этот ппп. И по-этому, я добавляю в таблицу роутера дополнительный путь, для пакетов, предназначеных в локалку. Добавлять нужно из файла пост-файрвол.
Да нет же :) Локалка без пппое неработает. Мне нужно тупо закрыть доступ торрентам, установленным на асусе доступ в инет, за исключением оприделенных подсетей
Неужели никто подсказать неможет? :(
Да нет же :) Локалка без пппое неработает.Не может быть. Если к провайдеру Вы подключены езернет-кабелем в WAN-интерфейс, то этому интерфейсу, обязательно, должен быть присвоен IP, и этот IP в какой-то локальной сети провайдера будет находиться.
(допустим 172.16.0.0/12)Причём, как до поднятия И-нета по PPPoE, так и после его разрыва.
К провайдеру я подключен ADSL-модемом в режиме бриджа
К провайдеру я подключен ADSL-модемом...Вот и я - точно-также. Но ADSL-модем, после конекта, получает IP-адрес в локальной сети. Тут надо учесть, что внутреняя сеть (lan1-lan4), например 192.168.0.ххх/24, должна отличаться от сети роутер-adsl-модем, например 192.168.1.ххх/24, и обе должны отличаться от локальной сети провайдера, например 172.16.ххх.ххх/12
...в режиме бриджаВы должны перевести модем в режим "пппое-пасру". В этом режиме, модем поднимает пппое в локалку провайдера, и позволяет ПК или роутеру поднимать внутри своего пппое в локалку, ещё один пппое в интернет.
Если Ваш ADSL-модем не поддерживает этот режим, придётся сменить модем.
Мне ненадо 2 пппое :) У моего провайдера нет разделения на пппое в локалку и пппое в интернет, все работает через одно соединение ппоое, которое поднимает роутер.
DemonGloom
01-09-2008, 19:45
Не может быть. Если к провайдеру Вы подключены езернет-кабелем в WAN-интерфейс, то этому интерфейсу, обязательно, должен быть присвоен IP, и этот IP в какой-то локальной сети провайдера будет находиться.Причём, как до поднятия И-нета по PPPoE, так и после его разрыва.
Неа... У Дом.РУ тоже выдается только после подключения PPPoE. До - никак...
Мне ненадо 2 пппое :) У моего провайдера нет разделения на пппое в локалку и пппое в интернет, все работает через одно соединение ппоое, которое поднимает роутер.Невозможно по одной трубе (пппое) перекачивать одновремено питьевую воду (локальный трафик) и нефть (и-нет трафик); точнее можно, но лишь при условии, что на приёмном конце (у провайдера) будет стояь хороший фильтр, отделяющий питьевую воду от нефти (будет настроен роутинг ПРАВИЛЬНО).
И если в питьевой воде будет попадаться нефтепродукт, то это вина фильтра-на-том-конце, и никак настройками на своём конце дела не поправишь.
А вот если у вас две трубы (два разных пппое), то обеспечить несмешиваемость продуктов - это уже Ваше дело.
Вот такой вот провайдер - домолинк от центртелекома. Подключается одно пппое соединение и все. Потом уже приходит счет - сколько локального и сколько глобального трафика
Вот такой вот провайдер - домолинк от центртелекома. Подключается одно пппое соединение и все. Потом уже приходит счет - сколько локального и сколько глобального трафикаНу чтож. Остаётся Вам разбираться: по каким портам работает Ваш торрнет (я не знаю - у меня торнета нет), писать правила iptables в фильтр OUTPUT (если торрнет установлен на роутере) или в FORWARD (если торрнет установлен на ПК).
А главное - не просто дропать пакеты, а как-нибудь вести лог-статистику. Это всё для того, чтоб понять: это торрнет шлёт пакеты куда-не-надо или провайдер на своём конце мухлюет.
Торрент установлен на роутере. Может подскажете, какое правило нужно добавить в OUTPUT что бы закрыть все проме сабжевой подсети?
Торрент установлен на роутере. Может подскажете, какое правило нужно добавить в OUTPUT что бы закрыть все проме сабжевой подсети?
iptables -i OUTPUT -o ppp0 -d !172.16.0.0/12 -p tcp --dport [порт по которому шлёт торрнет] -j DROP
theMIROn
04-02-2009, 21:56
Еще одно предложение
I have one suggestion.
It will be superb if this firmware will have layer-7 support.
best regards, Damian Lesiuk
Адрес проекта http://l7-filter.sourceforge.net/
Еще одно предложение
It will be superb if this firmware will have layer-7 support.
Оно в принципе уже есть, см. kernel/openwrt/602-netfilter_layer7_2.1nbd.patch
только не включено и не протестировано. Плюс это раздует прошивку, надо доделывать Makefile чтобы не инсталлировалось в .trx
Updated SpeedMOD : почитал разнообразные ссылки, типа
http://svn.gnumonks.org/trunk/doc/ottawa-doc-work/2.4.x/rtcache-gc.txt
http://book.chinaunix.net/special/ebook/oreilly/Understanding_Linux_Network_Internals/0596002556/understandlni-CHP-33-SECT-3.html
С чего сделал вывод - в Tomato заложились на резкое увеличение размера хэш-таблиц при одновременном снижении количества коллизий. IMHO неоптимально, осторожнее было сделано в openWRT (604-netfilter_maxconn.patch).
Еще поэкспериментирую и выложу в форум прикидки по константам.
В спецификации прошивки от энтузиастов упомянуто наличие layer7.
http://www.wl500g.info/showpost.php?p=120973&postcount=1
А нельзя ли SIP трафик детектировать как раз через l7? (а также bittorrent, skype и т.п.)
Как это в правилах указать?
dimokrat
19-10-2009, 19:12
layer7 filter enabled (external module)
Уважаемые энтузиасты, подскажите плз, есть ли уже опыт использования L7 на роутере, и есть ли какой-нибудь веб-интерфейс для его настройки?
Уважаемые энтузиасты, подскажите плз, есть ли уже опыт использования L7 на роутере, и есть ли какой-нибудь веб-интерфейс для его настройки?
Лично у нас - нет. Но народ же просил, может кто и откликнется. Веб интерфейс никто не нарисовал.
Наболевший вопрос, в поиске не нашел.
Подскажите пожалуйста, можно ли и как блокировать torrent клиенты.
Ситуация простая, роутер используется в фирме, на которой есть "прохаванные" пользователи, которые в свою очередь ставят торрент клиенты (есть такие, которые даже устанавливать не надо) и забивают канал всякой фигней.
Задача: ограничить торрент клиент в интернет без доступа к клиентской машине.
Заранее СПС.
victor1302
18-08-2010, 23:07
Такая же проблема! Прошу, помогите..
Такая же проблема! Прошу, помогите..
Прикрыть раздачу, да, обычным NAT, скачку нет
victor1302
19-08-2010, 07:41
Прикрыть раздачу, да, обычным NAT, скачку нет
А по портам тоже никак??
А по портам тоже никак??
А что мешает пользователю поменять порт? Фиксированных портов у торрент-клиентов нет ))
theMIROn
19-08-2010, 10:32
iptables -I FORWARD -m layer7 --l7proto bittorrent -j DROP
victor1302
21-08-2010, 15:22
А что мешает пользователю поменять порт? Фиксированных портов у торрент-клиентов нет ))
А если разрешить только определённые порты, такое возможно?
Кто-нибудь может помочь??
theMIROn
21-08-2010, 15:29
iptables -I FORWARD -m layer7 --l7proto bittorrent -j DROP
написал же.
протоколы брать тут
http://l7-filter.sourceforge.net/protocols
нужные паттерны складывать в /etc/l7-protocols
написал же.
протоколы брать тут
http://l7-filter.sourceforge.net/protocols
нужные паттерны складывать в /etc/l7-protocols
Маленькое дополнение к Вашему посту. Версия прошивки не должна быть меньше:
для ветки d - r1952
для ветки rtn - r1953
:)
написал же.
протоколы брать тут
http://l7-filter.sourceforge.net/protocols
нужные паттерны складывать в /etc/l7-protocols
)) Незнаю как для клиентов под *nix, в uTorrent специально на случай использования "умным" провайдером таких шуточек, есть режим шифрования трафика, очень полезная вещь
DarthSemafor
22-08-2010, 17:29
ptables -P FORWARD DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
А разрешить только то, что нужно:
iptables -A FORWARD -i ethX -o ethY -p tcp --dport 80 -m state --state NEW -j ACCEPT
theMIROn
22-08-2010, 18:13
ptables -P FORWARD DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
А разрешить только то, что нужно:
iptables -A FORWARD -i ethX -o ethY -p tcp --dport 80 -m state --state NEW -j ACCEPT
вы б хоть глянули в существующую таблицу FORWARD
WayF1nder
29-08-2010, 06:45
А есть ли возможность прикрутить к прошивке l7-filter ? Хотя бы в виде опции при сборке.
А то любят у нас некоторые товарищи в организации видео с различных хостингов посмотреть, а канал не резиновый.
theMIROn
29-08-2010, 08:46
А есть ли возможность прикрутить к прошивке l7-filter ? Хотя бы в виде опции при сборке.
А то любят у нас некоторые товарищи в организации видео с различных хостингов посмотреть, а канал не резиновый.
оно уже внутри.
http://wl500g.info/showpost.php?p=207679&postcount=9
WayF1nder
29-08-2010, 16:13
оно уже внутри.
http://wl500g.info/showpost.php?p=207679&postcount=9
Окей, спасибо большое!
WayF1nder
29-08-2010, 16:25
Хм, что-то не получается.
Скачал bittorrent.pat (для примера), положил в /etc/l7-protocols,
$ iptables -I FORWARD -m layer7 --l7proto bittorrent -j DROP
iptables: No chain/target/match by that name
$
Если указать протокол, для которого нет сигнатур, то
$ iptables -I FORWARD -m layer7 --l7proto jpeg -j DROP
iptables v1.3.8: Couldn't find a pattern definition file for jpeg.
$
Т.е. патчи вроде есть, но почему-то работать оно не хочет. В чем может быть дело?
WayF1nder
19-10-2010, 09:44
Раскопал еще одни грабли касательно сборки прошивки rtn для wl500gpv1.
В общем, если собрать согласно инструкции - все ок. Мне же нужно вкомпилять в ядро три вещи:
- ext2 (File Systems > Second extended fs support
- l7-filter (Networking > Networking support > Networking options > Network packet filtering framework (Netfilter) > Core Netfilter configuration > layer7)
- ULOG (Networking > Networking support > Networking options > Network packet filtering framework (Netfilter) > IP: Netfilter configuration > ULOG target support)
Если включаю все сразу, то прошивка собирается, заливается в роутер, но работать не хочет: горит светодиод питания, air не горит, роутер не пингуется. Если что-то из этих трех пунктов не включаю - тогда все работает. Тогда решил попробовать так: включил все три пункта, но выключил кое-что ненужное из ядра (в частности, некоторые NLS из File systems) - и оно заработало.
Из чего я делаю вывод, что где-то там для чего-то не хватает места.
Пробовал много раз в разных вариациях, воспроизводится стабильно.
Мне же нужно вкомпилять в ядро три вещи:
- ext2 (File Systems > Second extended fs support
См. kernel.config (http://code.google.com/p/wl500g/source/browse/branches/rt-n/kernel-2.6/kernel.config) уже включено, модулем.
- l7-filter (Networking > Networking support > Networking options > Network packet filtering framework (Netfilter) > Core Netfilter configuration > layer7)
- ULOG (Networking > Networking support > Networking options > Network packet filtering framework (Netfilter) > IP: Netfilter configuration > ULOG target support)
аналогично
Если включаю все сразу, то прошивка собирается, заливается в роутер, но работать не хочет: горит светодиод питания, air не горит, роутер не пингуется. Если что-то из этих трех пунктов не включаю - тогда все работает.
Это всего-лишь навсего означает, что система нормально не загрузилась. Простейший способ посмотреть, что именно - консоль.
WayF1nder
19-10-2010, 10:26
См. kernel.config (http://code.google.com/p/wl500g/source/browse/branches/rt-n/kernel-2.6/kernel.config) уже включено, модулем.Угу, а модуль нужно предварительно грузить откуда-то, например с флешки, которая в ext2... :) Напоминает unzip.zip
Знаю, что ULOG и layer7 можно грузить модулями, но для меня привычнее вкомпиливать их в ядро.
Это всего-лишь навсего означает, что система нормально не загрузилась. Простейший способ посмотреть, что именно - консоль.
Вы про какую консоль? Если про софтовую, то в нее не попасть - роутер полный труп, даже не пингуется. Если про распаивание serial-кабеля, то для меня это далеко не простейший способ :)
Вообще я сегодня полдня с ним игрался, наверное раз 20 пересобрал прошивку, все указывает на то, что труп из роутера получается именно если повключать слишком много всего в ядро. Если собирать модулями - то все ок.
Угу, а модуль нужно предварительно грузить откуда-то, например с флешки, которая в ext2... :)
flashfs уже отменили? :p
А игры с ядром без консоли(rs232) малоэффективны.
Торренты на компе. 2274 не ставил.
Попробуй. Единственный коммит, на который я могу грешить - 2280
P.S. Похоже без торрентов многие проблемы не воспроизводятся...
Попробуй. Единственный коммит, на который я могу грешить - 2280
P.S. Похоже без торрентов многие проблемы не воспроизводятся...
Ок, попробую вечерком перешить на 2274. Спасибо.
nshaper реально не работает, все настроил много провозился но режет скорость в 5-7 раз!
Позволю себе повториться!
Я не возьму в толк почему Олег не внедрил Layer 7 QoS - схему которая железно работает с XWRT, DDWRT, OpenVRT?
http://dolly.czi.cz/coyote/packages/qosl7.asp
Kernel compatibility-
http://l7-filter.sourceforge.net/kernelcompat
Что надо сделать чтобы это заработало у Олега?
Что надо сделать чтобы это заработало у Олега?
Переходите на прошивку энтузиастов. Берете modules от своей прошивки, берете из него xt_layer7.ko, на роутере делаете insmod xt_layer7 ... и все, пользуетесь!
А можно поподробнее?
1. Перейти на прошивку энтузиастов (http://wl500g.info/showthread.php?t=17136). Есть стабильные сборки (http://code.google.com/p/wl500g/downloads/list), а есть ночные сборки (ftp://core.dumped.ru/) (Внимание! Здесь прошивки заархивированы). Есть 2 ветки: на ядре 2.4 (wl/-d-) и на ядре 2.6 (rtn), но под каждую ветку есть свой файл modules, который лежит рядом с прошивкой.
2. Пока хватит?
vlas_val
25-10-2010, 14:24
Переходите на прошивку энтузиастов. Берете modules от своей прошивки, берете из него xt_layer7.ko, на роутере делаете insmod xt_layer7 ... и все, пользуетесь!
А можно поподробнее?
Интересная статья http://www.opennet.ru/base/net/adsl_shaper.txt.html
1. Перейти на прошивку энтузиастов (http://wl500g.info/showthread.php?t=17136). Есть стабильные сборки (http://code.google.com/p/wl500g/downloads/list), а есть ночные сборки (ftp://core.dumped.ru/) (Внимание! Здесь прошивки заархивированы). Есть 2 ветки: на ядре 2.4 (wl/-d-) и на ядре 2.6 (rtn), но под каждую ветку есть свой файл modules, который лежит рядом с прошивкой.
2. Пока хватит?
Зачем мне слышать про какие то "ночные сборки"? у меня конкретная прошивка RT-N16-1.9.2.7-rtn-r2274.trx.
$ lsmod | egrep 'layer7'
xt_layer7 15248 0
А как реально настроить вот тут написано все понятно
http://wiki.openwrt.org/oldwiki/MiniHowtos/QoSHowto
но линк не работает
http://downloads.openwrt.org/people/nbd/qos/
а попробовал дальше отсюда Another Qos Package, выдает ошибки...
ipkg install http://files.eschauzier.org/qos-re_1.0_all.ipk
Downloading http://files.eschauzier.org/qos-re_1.0_all.ipk
Installing qos-re (1.0) to /opt/...
Nothing to be done
An error ocurred, return value: 1.
Collected errors:
ERROR: Cannot satisfy the following dependencies for qos-re:
kmod-sched kmod-ipt-conntrack iptables-mod-conntrack kmod-ipt-ipopt ipt ables-mod-ipopt kmod-ipt-extra iptables-mod-extra ip kmod-imq iptables-mod-imq t c kmod-ipt-filter iptables-mod-filter
Вот еще How to L7-filter Userspace Version:
http://l7-filter.sourceforge.net/HOWTO-userspace#Doing
Загрузил netfilter-layer7-v2.22.tar.gz отсюда-
wget http://sourceforge.net/projects/l7-filter/files/l7-filter%20kernel%20version/2.22/netfilter-layer7-v2.22.tar.gz/download
У меня
uname -a
Linux Asus 2.6.22.19 #1 Sun Aug 15 14:55:34 YEKST 2010 mips GNU/Linux
vi README
- iptables-1.4.3forward-for-kernel-2.6.20forward/libxt_layer7.{c,man}
Use these files if you are compiling iptables 1.4.3 or later against Linux
2.6.20 or later.
- for_older_iptables/
Use these files if you are using an older version of iptables or Linux.
Note that not all combinations are supported. This includes, but is not
limited to:
-- Compiling iptables 1.4.x against Linux 2.6.19.x or earlier.
-- iptables 1.4.1, period.
General notes:
- You do NOT need to recompile iptables if you change your running kernel
version across the 2.6.20 boundary and you already have a working iptables.
- You DO need to recompile iptables if you switch from a kernel patched
with l7-filter <= v2.10 to one patched with l7-filter >= v2.11.
Также имея iptables v1.3.8 но непонятно где находиться "patched kernel source"?
iptables 1.4.0 and older
Use the appropriate iptables patch to to patch[1] iptables. Compile iptables, pointing it at your patched kernel source:
Run "chmod +x extensions/.layer7-test" (information about file permissions can't be contained in the patch)
Then "make KERNEL_DIR=/path/to/patched/kernel_source" (you must have configured your kernel source before this step)
And install (as root): "make install KERNEL_DIR=/path/to/patched/kernel_source"
Как compile into your kernel module ip_conntrack_netlink or nf_conntrack_netlink?
Either way, you need either the module ip_conntrack_netlink or nf_conntrack_netlink or the same code compiled into your kernel.
Вопрос - кто нибуть реально смог настроить QoS на Layer 7?
Переходите на прошивку энтузиастов. Берете modules от своей прошивки, берете из него xt_layer7.ko, на роутере делаете insmod xt_layer7 ... и все, пользуетесь!
а этот layer 7 - полноценный шейпер? дать приоритет web-серфингу над торрентами сможет?
после установки этого модуля какой-нибудь веб-интерфейс будет?
LA_, сам шейпер уже встроен в прошивку, а xt_layer7 - это всего лишь модуль, который позволяет классифицировать пакеты. Cудя по комментариям выше, загрузкой только этого модуля не проблему не решить.
P.S. Сам я не настраивал QoS
а шейпер без этого модуля работает? (если нет, то зачем он в прошивке?)
В pfsens (http://www.pfsense.com/)'е layer7 работает отлично. На rt-n16 пока не получается добиться того же самого.
Уважаемые гуру. Поделитесь пожалуйста с новичком как в asus wl500g premium забанить порты и протоколы торрентов. Ситуация банальная, через сей девайс раскуриваем yota на 4 человек в офисе. Но есть несознательные люди, думающие, что они хитрее всех. В итоге нет даже простого серфа по страницам((. Заранее благодарен за ссылку на статьи или помощь.
Уважаемые гуру. Поделитесь пожалуйста с новичком как в asus wl500g premium забанить порты и протоколы торрентов. Ситуация банальная, через сей девайс раскуриваем yota на 4 человек в офисе. Но есть несознательные люди, думающие, что они хитрее всех. В итоге нет даже простого серфа по страницам((. Заранее благодарен за ссылку на статьи или помощь.
Запрет проброса портов через UPnP исключит раздачу файлов через торрент (если нет прописанных пробросов портов). Скачка идет через протокол TCP и соответственно запретить его нельзя ...
Анализ трафика, это не для роутера ... ИМХО единственное решение прокси-сервер на роутере (но это отказ от остальных не HTTP/FTP сервисов) да и опять мощности роутера маловато ...
З.Ы. Раз разговор идет про офис, то все проще ... Административные действия (права пользователя на компе, штрафы и т.д.)
FilimoniC
29-03-2011, 18:43
Запрет проброса портов через UPnP исключит раздачу файлов через торрент (если нет прописанных пробросов портов). Скачка идет через протокол TCP и соответственно запретить его нельзя ...
Анализ трафика, это не для роутера ... ИМХО единственное решение прокси-сервер на роутере (но это отказ от остальных не HTTP/FTP сервисов) да и опять мощности роутера маловато ...
З.Ы. Раз разговор идет про офис, то все проще ... Административные действия (права пользователя на компе, штрафы и т.д.)
Если у вас не it-компания, запретите запуск программы по хешу.
Если вам нужно только HTTP\HTTPS, запретите все кроме портов 443 и 80.
Если у вас не it-компания, запретите запуск программы по хешу.
Если вам нужно только HTTP\HTTPS, запретите все кроме портов 443 и 80.
На скачку можно юзать любые разрешенные на выход порты ... Если есть возможность ставить на клиенте программы уровня ядра-драйвера .... У меня кореш из банка так качал через единственный порт открытый наружу из сети (ICQ для поддержки клиентов), не спрашивайте меня почему там так было задумано (сам так и не понял)... Собственно из-за него и появилась тема http://wl500g.info/showthread.php?p=51624#post51624 так что оптимальное решение "Административное" (будете качать обрежем все)
З.Ы. Для понимания старожилов Mirage-Net это я до аварии ... просто долго оклемывался ... , а потом посчитал что и так сойдет (здесь не торрент рейтинга не нужно :)
FilimoniC
29-03-2011, 19:14
На скачку можно юзать любые разрешенные на выход порты ... Если есть возможность ставить на клиенте программы уровня ядра-драйвера .... У меня кореш из банка так качал через единственный порт открытый наружу из сети (ICQ для поддержки клиентов), не спрашивайте меня почему там так было задумано (сам так и не понял)... Собственно из-за него и появилась тема http://wl500g.info/showthread.php?p=51624#post51624 так что оптимальное решение "Административное" (будете качать обрежем все)
З.Ы. Для понимания старожилов Mirage-Net это я до аварии ... просто долго оклемывался ... , а потом посчитал что и так сойдет (здесь не торрент рейтинга не нужно :)
Я понимаю, но не так уж много людей открывают 80 и 443 для торрентов.
А дырку найти всегда можно. "Совсем все" запретить все равно возможно только получив геморрой\получив бесполезный выход в интернет
someoneelse
28-02-2012, 08:27
Хм, что-то не получается.
Скачал bittorrent.pat (для примера), положил в /etc/l7-protocols,
$ iptables -I FORWARD -m layer7 --l7proto bittorrent -j DROP
iptables: No chain/target/match by that name
$
Если указать протокол, для которого нет сигнатур, то
$ iptables -I FORWARD -m layer7 --l7proto jpeg -j DROP
iptables v1.3.8: Couldn't find a pattern definition file for jpeg.
$
Т.е. патчи вроде есть, но почему-то работать оно не хочет. В чем может быть дело?
Добрый день!! случилась у меня такая же ситуация. Команду
iptables -I FORWARD -m layer7 --l7proto bittorrent -j DROP
нашел вот таком линке
http://wl500g.info/showthread.php?t=24444
от уважаемого theMIROn
И вот эта команда мне выдала такой же ответ
iptables: No chain/target/match by that name
Предыстория: Расширил wifi соседям на халяву, а соседу присели на torrent и задушили мой хиленький adsl mgts internet с upload в 50кб\с. У меня стоит связка adsl modem asus am604 в режиме роутер(самое узкое место, думаю переключить его в режим бридж, чтобы он вообще не "думал") и за ним rt-n 16, с прошивочкой на нем 1.9.2.7-rtn-r2775
Итак, ошибка решилась вот так - у меня были скаченые давным-давно под мое ядро 2.6.22.19, Лежат они, залинканые на /lib/modules.
подключаем незагруженный модуль
modprobe xt_layer7
а уже потом добавляем правило
iptables -I FORWARD -m layer7 --l7proto bittorrent -j DROP
И мой iptables схавал его без ошибок.
Проверяем iptables-save, и вот что ответил
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [935:62573]
:OUTPUT ACCEPT [17626:16706305]
:BRUTE - [0:0]
:MACS - [0:0]
:SECURITY - [0:0]
:logaccept - [0:0]
:logdrop - [0:0]
-A INPUT -m state --state INVALID -j DROP
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -m state --state NEW -j ACCEPT
-A INPUT -i br0 -m state --state NEW -j ACCEPT
-A INPUT -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A INPUT -j DROP
-A FORWARD -m layer7 --l7proto bittorrent -j DROP
-A FORWARD -i br0 -o br0 -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD ! -i br0 -o vlan2 -j DROP
-A FORWARD -m conntrack --ctstate DNAT -j ACCEPT
-A FORWARD -o br0 -j DROP
-A SECURITY -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/sec -j RETURN
-A SECURITY -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j RETURN
-A SECURITY -p udp -m limit --limit 5/sec -j RETURN
-A SECURITY -p icmp -m limit --limit 5/sec -j RETURN
-A SECURITY -j DROP
-A logaccept -m state --state NEW -j LOG --log-prefix "ACCEPT " --log-tcp-sequence --log-tcp-options --log-ip-options --log-macdecode
-A logaccept -j ACCEPT
-A logdrop -m state --state NEW -j LOG --log-prefix "DROP " --log-tcp-sequence --log-tcp-options --log-ip-options --log-macdecode
-A logdrop -j DROP
COMMIT
Вижу что правило вставилось, патерн есть. Проверяю скачку торрент через свой linux transmission на моем ноутбуке - качает по максимуму из интернета - проброс работает, проблема моя осталась.
В transmission в настройках стоит шифрование пакетов и отключить его не знаю как, выбрать можно только:
- разрешить шифрование
- предпочитать шифрование
- требовать шифрование
Если я уж свой клиент не могу настроить, то соседи уж точно этого делать не станут.
Последняя надежда это сделать drop по умолчанию всего кроме http, https, ftp и dns. Где-то находил на форуме как это сделать, да вот только потерял - грущу.
AleksandrN
29-02-2012, 20:44
а разве modprobe подключает модуль?
у меня в post-boot добавленно insmod xt_layer7.ko,
а в папку /etc/l7-protolols положил bittorrent.pat
ну и IPTABLES -A PREROUTING -t mangle -m layer7 --l7proto bittorrent -j DROP
,
theMIROn
01-03-2012, 00:52
отключите fastnat, иначе не будет работать
nvram set misc_fastnat_x=0 && nvram commit && reboot
а разве modprobe подключает модуль
Конечно. По сути его можно назвать надстройкой над lsmod, rmmod и insmod.
featZima
10-03-2012, 05:28
Подскажите, в какую сторону можно копать...
версия прошивки: 1.9.2.7-rtn-r3936
вывод команды lsmod:
Module Size Used by Tainted: P
xt_layer7 14704 0
ipip 9264 0
tcp_vegas 2624 0
ipt_set 1536 2
ip_set_macipmap 3568 1
ip_set 17536 3 ipt_set,ip_set_macipmap
ntfs 117040 0
usb_storage 83328 3
sd_mod 23680 4
scsi_mod 93376 2 usb_storage,sd_mod
usblp 14096 0
ohci_hcd 20048 0
ehci_hcd 38064 0
usbcore 135200 5 usb_storage,usblp,ohci_hcd,ehci_hcd
xt_recent 8560 2
nf_nat_ftp 2304 0
nf_conntrack_ftp 7296 1 nf_nat_ftp
pppoe 11616 4
pppox 2192 1 pppoe
wl 1634048 0
et 52608 0
igs 17552 1 wl
emf 21248 2 wl,igs
xt_HL 2016 0
xt_hl 1472 1
Но при этом правило не работает:
[root@RT-N16 root]$ iptables -A PREROUTING -t mangle -m layer7 --l7proto bittorrent -j DROP
iptables v1.4.9: Couldn't load match `layer7':File not found
Подскажите, в какую сторону можно копать...
iptables v1.4.9: Couldn't load match `layer7':File not found
Но при этом правило не работает:
В основном, это потому что вы не хотите читать, ни форум, ни статьи по iptables :(
Раз двадцать писал - вы можете установить хоть iptables 11.0, но если они не соответствуют ядру, вы получите жирную фигу. На кой ляд внешние 1.4.9 ?
L7-filter Kernel Version HOWTO (http://l7-filter.sourceforge.net/HOWTO) читали? Каталог с паттернами на месте?
featZima
10-03-2012, 12:05
В основном, это потому что вы не хотите читать, ни форум, ни статьи по iptables
Я очень хочу, но всё что я смог найти на форуме связанное с layer7 не помогло... да и из инета ничего не помогло (
Раз двадцать писал - вы можете установить хоть iptables 11.0, но если они не соответствуют ядру, вы получите жирную фигу. На кой ляд внешние 1.4.9 ?
Я даже не догадывался, что у меня на роутере несколько iptables... простое уточнение расположения iptables и всё работает:
/usr/sbin/iptables -I FORWARD -m layer7 --l7proto bittorrent -j ACCEPT
p.s. большое спасибо, что ткнули носом)
А никто не знает почему l7-filter уже два года как не развивается? И в ядро не приняли...
Актуальна ли поддержка IPv6 в l7-filter?
shredder
27-03-2012, 13:39
Подскажите как в настройке запретить скачку торрентов через роутер?
Чтобы обычный интернет работал, а торренты нет.
Я так понял надо запретить все порты кроме 80 и 443, только не понял как это сделать в настройках.
Может кто-нить покажет скрины настройки
Подскажите как в настройке запретить скачку торрентов через роутер?
Чтобы обычный интернет работал, а торренты нет.
Я так понял надо запретить все порты кроме 80 и 443, только не понял как это сделать в настройках.
Может кто-нить покажет скрины настройки
Торрент прекрасно работает через 80 и 443 порты )
shredder
27-03-2012, 13:48
Торрент прекрасно работает через 80 и 443 порты )
ну так там вроде другие порты по умолчанию используются, хотя бы так запретить :)
ну так там вроде другие порты по умолчанию используются, хотя бы так запретить :)
)) торрент специально разрабатывался чтобы обходить такие примитивные защиты, едиственный более-менее надежный вариант это гробить соединения на основании содержимого пакетов
shredder
27-03-2012, 14:03
да хотя бы простую защиту сделать, а то валят соединениями роутер и невозможно работать :(
перенастроивать торрент клиент мало кто будет
Джентельмены, есть в текущих билдах l7? Нужен QoS на основе l7 и управление приложениями (в том числе отключение торрентов и т.д.)
Думаю, придется ставить dd-wrt, а не хочется...
Сам себе отвечу. Необходимость работы QoS на уровне протоколов (l7) и одновременно на уровне преимущества отдельных IP-адресов над другими привела таки к установке dd-wrt build 18024 (самый стабильный по моим замечаниям из последних). В нем все чудно работает, запрещенные протоколы (очччень мне понравилось catch all p2p) и сайты блокируются, избранные компьютеры имеют над другими приоритет, и т.д.
theMIROn
04-04-2012, 12:13
Джентельмены, есть в текущих билдах l7? Нужен QoS на основе l7 и управление приложениями (в том числе отключение торрентов и т.д.)
да есть, модуль xt_layer7.ko или внутри прошивки, или во внешнем архиве, в зависимости от модели.
да есть, модуль xt_layer7.ko или внутри прошивки, или во внешнем архиве, в зависимости от модели.
Если честно, это несмешно. Наличие модуля без удобного и адекватного управления через вебморду - "помечаем - отсутствует". Тем более с такой заумной штукой, как QoS....
theMIROn
04-04-2012, 21:32
Если честно, это несмешно. Наличие модуля без удобного и адекватного управления через вебморду - "помечаем - отсутствует". Тем более с такой заумной штукой, как QoS....
согласен, далеко все обладают достаточными знаниями, что использовать l7 без web интерфейса.
те кто запрашивал модуль - видимо справляются.
согласен, далеко все обладают достаточными знаниями, что использовать l7 без web интерфейса.
те кто запрашивал модуль - видимо справляются.
Да, и в прошивке для RT-N56U/65U от Padavan'a тоже был выкинут почти весь QoS из-за использования HW_NAT :rolleyes:
Ну а Asus вместе с Tomato всё-таки продолжает использовать QoS для настройки приоритета трафика в вэбморде ;)
Первое позитивное впечатление: теперь для всех роутеров ASUS линеек N series (http://ru.asus.com/Networks/Wireless_Routers/N_series) и Dual-Band N (http://ru.asus.com/Networks/Wireless_Routers/DualBand_N_Series) - от самого хилого RT-N10 до
bleeding edge фронтира RT-N66u - прошивки собираются единым универсальным инструментарием, причём не важно на какой
платформе построен роутер - Ralink или Broadcom. Наконец-то это произошло: больше никакого велосипедостроительства по
решению схожих багов в прошивках разных моделей. Надеюсь, что это нас как-то сблизит с разработчиками альтернативных
Ralink-based прошивок, у нас теперь общая user-space часть, собранная единым тулчейном.
Мы при необходимости даже можем обмениваться друг с другом бинарниками! На мой взгляд, такой подход говорит о том,
что Asus настроен поддерживать свою линейку роутеров ещё достаточно длительное время.
Среда сборки прошивки позволяет в Makefile'ах просто указать (http://wl500g.info/showthread.php?27333-Asus-RT-N66U&p=244077#post244077) перечень фич, которые вы ходите видеть в прошивке.
Это позволяет, например, добавить фичи, которые есть исключительно в дорогих моделях в самые младшие модели
правкой единственного make-файла. Лишь бы для этого хватило места во флеш-памяти.
Теперь бегло по содержимому исходников. Для RT-N66u прошивку включены все перечисленные фичи. В наличии:
рабочий layer7 фильтр «из коробки», позволяющий (http://wl500g.info/showthread.php?29165-%CF%EE%E4%E4%E5%F0%E6%EA%E0-l7-filter-%E2-%EF%F0%EE%F8%E8%E2%EA%E5-%FD%ED%F2%F3%E7%E8%E0%F1%F2%EE%E2) организовать тот самый Professional QoS, указанный на коробке.
Может по сигнатурам трафика налету отличать торрент-трафик от голосового или даже тоньше: различать между
собой, например, скачивание файлов *.zip от скачивания *.flv и расставлять соответствующие приоритеты.
ЗЫ. Видя, например, кульбиты, которые приходится выполнять для подключения Entware и видя то, что Dowload Master
вовсе неработоспособен (http://forum.asus.ru/viewtopic.php?p=360419#p360419) после изменений пакета pcre в Optware, я склоняюсь к написанию патчика, позволяющего
подключать Entware с transmission вместо Download Master'а.