iptables移植到开发板

1、iptables的移植

到netfilter官方网站（http://www.netfilter.org/）下载iptables最新源码并解压，编译方法具体可以参考iptables目录下的INSTALL文件。

./configure –host=arm-linux-gnueabi –prefix=/home/iptables –enable-static –disable-shared –with-ksource=./../../linux-2.6.30/

make

make install

arm-linux-gnueabi-strip /home/iptables/sbin/xtables-multi

将指定目录下/home/ipables/sbin的可执行程序拷贝到开发板的/usr/sbin下

（拷贝的时候要注意，所有的命令都是软链接到xtables-multi，因此一般的拷贝cp会将整个复制一遍，导致整个工具变大，正确的做法①先压缩，拷贝压缩文件后解压，②直接拷贝xtables-multi，像iptables、iptables-save工具使用软链接sudo cp -s xtables-multi iptables-save直接创建）

-–host： 指定交叉编译工具，一般为arm-none-linux-gnueabi、arm-linux-gnueabihf、arm-linux等，具体要和目标板用的交叉编译工具对应。

–-prefix： 指定安装目录，编译后的文件会全部放在安装目录中。必须是绝对路径！

–-enable-static：使用静态编译。

–-disable-shared：禁止动态编译。

–-with-ksource：指定目标板的内核目录。如果不指定，可能会提示：/usr/sbin/iptables: line 1: syntax error: unexpected “)”错误。当然，因为这个是可选项，如果没有提示错误，也可以不加这一项

2、内核的配置

为了使用iptables工具，需要配置内核来支持该工具，其实iptables工具主要是调用到内核里面的netfilter代码功能。这次是采用编译进内核的方式，当然也可以使用编译成模块的方式。

配置如下：

Networking —->

Networking options —->

[*] Network packet filtering (replaces ipchains) —>

[*]Advanced netfilter configuration

Core Netfilter Configuration —>

<*> Netfilter connection tracking support

<*> Netfilter Xtables support (required for ip_tables)

<*>”iprange” address range match support

<*>”multiport” Multiple port match support

<*>”state” match support

IP: Netfilter Configuration —>

<*> IPV4 connection tracking (required for masq/NAT)

[*]proc/sysctl compatibility with old connection tracking

<*> IP tables support (required for filtering/masq/NAT)

<*> IP range match support

<*> Packet filtering

<*> REJECT target support

<*> raw table support(required for NOTRACK/TRACE)

<*> Full NAT

说明：

1）若是不清楚，可以全部选中。

Networking —>

Networking options —>

Network packet filtering (replaces ipchains) —>(mini2440的内核版本稍高，选项不是这样的，但大同小异)

Core Netfilter Configuration —> 可以全选为build in （*）也可以全选为modules（M）

IP: Netfilter Configuration —> 可以全选为build in(*) 也可以全选为modules(M)

2）如果在开发板上执行 iptable -L -n出现以下信息，那么就需要重新配置和编译内核：

iptables v1.4.2: can’t initialize iptables table `filter’: Table does not exist (do you need to insmod?)Perhaps iptables or your kernel needs to be upgraded.

3）串口一直打印nf_conntrack:table full, dropping packet错误

在开发板的/etc/sysctl.conf中添加如下

net.netfilter.nf_conntrack_max = 655350

net.netfilter.nf_conntrack_tcp_timeout_established = 1200