openWRT 如何实现通过识别协议的方式主动 drop 包？

[rabbutbit]

最近编译了一个新的 wrt 做旁路由，预期功能都已基本实现，就差这一个：

识别 in 和 out 方向的 ssh 和 rdp(win 远程)协议数据包，然后 drop 或者 reject

粗略看了可选装的 app 们似乎没有具备这个功能，但总感觉是自己没发现存在这么个东西。找遍 google 问遍 gpt3.5 都没得到合适的答案，基本上都是基本的 iptables 阻断单个端口，遂想问下网友们有没有了解这个的。

---

环境:

• openwrt_x86_v23.11
• 足够的计算资源&良好的网络条件

[acrisliu]

看看这个能满足不？
https://github.com/apernet/OpenGFW

[mohumohu]

只能抓包然后用-m string --hex-string 模块匹配了吧

[Donaldo]

直接用有 DPI 能力的防火墙吧，op 干这个不合适

[billlee]

要可靠实现这个有 TCP 流重组能力，这已经不是内核自带的 netfilter 能做到的了

[flynaj]

https://github.com/destan19/OpenAppFilter
需要第三方软件

[PrinceofInj]

你似乎需要的是 L7 防火墙。iptables 貌似可以做。

[kery]

不通过端口的话那就需要 DPI 了，给 iptables 写个扩展啥的应该能实现。