一則報(bào)道說盡管某寬帶公司現(xiàn)有技術(shù)可以容納的網(wǎng)絡(luò)用戶容量為400至600萬用戶，可是目前，在容納了45萬用戶的情況下，網(wǎng)絡(luò)已經(jīng)擁擠不堪，時(shí)常出現(xiàn)斷網(wǎng)情況，一到上網(wǎng)高峰，網(wǎng)速就會(huì)急劇下降。
為何網(wǎng)絡(luò)會(huì)如此擁擠不堪？這是因?yàn)樽詮某霈F(xiàn)諸如電驢、Kazaa、BT等P2P軟件之后，海量的數(shù)據(jù)文件（如大容量文件交換、視頻文件下載等）逐漸占據(jù)了大部分的網(wǎng)絡(luò)帶寬。P2P這一新應(yīng)用給用戶帶來了前所未有的方便和豐富的資源，但同時(shí)也引發(fā)了網(wǎng)絡(luò)帶寬和安全問題。
如何在發(fā)揮P2P強(qiáng)大功能的情況下對(duì)其進(jìn)行一些必要的限制呢？本文將介紹在Linux中如何利用netfilter/iptables實(shí)現(xiàn)對(duì)P2P應(yīng)用流量的限制。
升級(jí)內(nèi)核
由于在公開發(fā)布的Linux內(nèi)核文件中，有關(guān)iptables的各種參數(shù)里沒有關(guān)于P2P屬性的參數(shù)，所以必須通過升級(jí)Linux內(nèi)核和iptables來打上這個(gè)補(bǔ)丁，使其支持P2P屬性設(shè)置。
在具體操作之前，先要了解一下升級(jí)內(nèi)核補(bǔ)丁需要的一些相關(guān)軟件：linux-2.4.20-8.tar.gz、patch-o-matic-20040609.tar.bz2、iptables-1.2.8.tar.bz2、iptables-p2p-0.3.0a.tar.gz和ipp2p-0.5c.tar.gz。
這里的測試環(huán)境為Red Hat 9.0，內(nèi)核為2.4.20-8。由于2.4.*是一個(gè)穩(wěn)定的內(nèi)核，因此不能把當(dāng)前開發(fā)的一些新功能提交到主內(nèi)核中去，而只能首先在patch-o-matic中測試，然后打補(bǔ)丁到內(nèi)核中。在CVS中可以找到最新的patch-o-matic包—Patch-o-matic-20040609.tar.bz2。
有了內(nèi)核支持后，還需要iptables支持，其中iptables-p2p-0.3.0a.tar.gz為netfilter/iptables組織開發(fā)的專門支持P2P的iptables擴(kuò)展軟件包；ipp2p-0.5c.tar.gz為Eicke Friedrich開發(fā)的一個(gè)支持P2P的iptables擴(kuò)展包。這兩個(gè)擴(kuò)展包各有特色，后面將會(huì)分別介紹。
裝載模塊
首先在/usr/src下解壓軟件包：
|
生成patch-o-matic-20040609.tar.out。
|
生成補(bǔ)丁目錄patch-o-matic-20040609。Red Hat 9.0中默認(rèn)的內(nèi)核目錄為/usr/src/linux-2.4。進(jìn)入補(bǔ)丁目錄/usr/src/patch-o-matic-20040609，由于支持P2P協(xié)議控制選項(xiàng)需要CONNMARK模塊，該模塊在extra子目錄下，因此需要運(yùn)行如下命令來升級(jí)內(nèi)核補(bǔ)丁。
|
運(yùn)行該命令后會(huì)出現(xiàn)一個(gè)模塊選擇界面，界面有兩個(gè)區(qū)域，一個(gè)給出相關(guān)的模塊名、模塊功能、用法和語法實(shí)例；另一個(gè)給出各種選項(xiàng)，如N/y/b/r.../q/?，其中第一個(gè)為大寫字母，表示缺省選項(xiàng)，n表示下一個(gè)模塊，y表示確定，b表示上一個(gè)模塊，q表示退出。
首先應(yīng)該確定當(dāng)前的模塊是否需要，不需要就按“N”鍵后回車，繼續(xù)顯示下一個(gè)模塊的相關(guān)信息。當(dāng)出現(xiàn)需要的模塊時(shí)，按“Y”鍵確認(rèn)，同時(shí)應(yīng)該將里面的相關(guān)語法實(shí)例抄錄下來以備用。選擇完所有需要的模塊后，按“Q”鍵退出。
編譯內(nèi)核
進(jìn)入內(nèi)核文件所在目錄/usr/src/linux-2.4，開始編譯內(nèi)核：
|
注意，在配置選項(xiàng)中必須選擇Networking options→IP:Netfilter Configuration→Connection mark tracking support和CONNMARK target support兩個(gè)選項(xiàng)。確保關(guān)鍵文件在正確位置：
|
