久久久久久穴,精品无码av无码专区,日本一二区中文字幕在线

您當(dāng)前所在位置：首頁(yè) → 操作系統(tǒng) → LINUX → Linux系統(tǒng)中防火墻的框架及簡(jiǎn)單分析

Linux系統(tǒng)中防火墻的框架及簡(jiǎn)單分析 時(shí)間：2015-06-28 00:00:00 來(lái)源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)

　　Netfilter提供了一個(gè)抽象、通用化的框架，該框架定義的一個(gè)子功能的實(shí)現(xiàn)就是包過(guò)濾子系統(tǒng)框架包含以下五部分：

　　1. 為每種網(wǎng)絡(luò)協(xié)議(IPv4、IPv6等)定義一套鉤子函數(shù)（IPv4定義了5個(gè)鉤子函數(shù)）, 這些鉤子函數(shù)在數(shù)據(jù)報(bào)流過(guò)協(xié)議棧的幾個(gè)關(guān)鍵點(diǎn)被調(diào)用。在這幾個(gè)點(diǎn)中，協(xié)議棧將把數(shù)據(jù)報(bào)及鉤子函數(shù)標(biāo)號(hào)作為參數(shù)調(diào)用Netfilter框架。

　　2. 內(nèi)核的任何模塊可以對(duì)每種協(xié)議的一個(gè)或多個(gè)鉤子進(jìn)行注冊(cè)，實(shí)現(xiàn)掛接，這樣當(dāng)某個(gè)數(shù)據(jù)包被傳遞給Netfilter框架時(shí)，內(nèi)核能檢測(cè)是否有任何模塊對(duì)該協(xié)議和鉤子函數(shù)進(jìn)行了注冊(cè)。若注冊(cè)了，則調(diào)用該模塊的注冊(cè)時(shí)使用的回調(diào)函數(shù)，這樣這些模塊就有機(jī)會(huì)檢查(可能還會(huì)修改)該數(shù)據(jù)包、丟棄該數(shù)據(jù)包及指示Netfilter將該數(shù)據(jù)包傳入用戶空間的隊(duì)列。

　　3 .那些排隊(duì)的數(shù)據(jù)包是被傳遞給用戶空間的異步地進(jìn)行處理。一個(gè)用戶進(jìn)程能檢查數(shù)據(jù)包，修改數(shù)據(jù)包，甚至可以重新將該數(shù)據(jù)包通過(guò)離開(kāi)內(nèi)核的同一個(gè)鉤子函數(shù)中注入到內(nèi)核中。

　　4. 任何在IP層要被拋棄的IP數(shù)據(jù)包在真正拋棄之前都要進(jìn)行檢查。例如允許模塊檢查IP-Spoofed包（被路由拋棄）。

　　5.IP層的五個(gè)HOOK點(diǎn)的位置如下所示 :

　　(1)NF_IP_PRE_ROUTING：剛剛進(jìn)入網(wǎng)絡(luò)層的數(shù)據(jù)包通過(guò)此點(diǎn)（剛剛進(jìn)行完版本號(hào)，校驗(yàn) 和等檢測(cè)），源地址轉(zhuǎn)換在此點(diǎn)進(jìn)行；IP_Input.c中IP_Rcv調(diào)用。

　　(2)NF_IP_LOCAL_IN：經(jīng)路由查找后，送往本機(jī)的通過(guò)此檢查點(diǎn),INPUT包過(guò)濾在此點(diǎn)進(jìn)行；IP_local_deliver中調(diào)用

　　(3)NF_IP_FORWARD：要轉(zhuǎn)發(fā)的包通過(guò)此檢測(cè)點(diǎn),FORWORD包過(guò)濾在此點(diǎn)進(jìn)行；

　　(4)NF_IP_POST_ROUTING：所有馬上便要通過(guò)網(wǎng)絡(luò)設(shè)備出去的包通過(guò)此檢測(cè)點(diǎn)，內(nèi)置的目的地址轉(zhuǎn)換功能（包括地址偽裝）在此點(diǎn)進(jìn)行；

　　(5)NF_IP_LOCAL_OUT：本機(jī)進(jìn)程發(fā)出的包通過(guò)此檢測(cè)點(diǎn)，OUTPUT包過(guò)濾在此點(diǎn)進(jìn)行。

　　這些點(diǎn)是已經(jīng)在內(nèi)核中定義好的，內(nèi)核模塊能夠注冊(cè)在這些HOOK點(diǎn)進(jìn)行的處理，可使用nf_register_hook函數(shù)指定。在數(shù)據(jù)報(bào)經(jīng)過(guò)這些鉤子函數(shù)時(shí)被調(diào)用，從而模塊可以修改這些數(shù)據(jù)報(bào)，并向Netfilter返回如下值：

　　NF_ACCEPT 繼續(xù)正常傳輸數(shù)據(jù)報(bào)

　　NF_DROP 丟棄該數(shù)據(jù)報(bào)，不再傳輸

　　NF_STOLEN 模塊接管該數(shù)據(jù)報(bào)，不要繼續(xù)傳輸該數(shù)據(jù)報(bào)

　　NF_QUEUE 對(duì)該數(shù)據(jù)報(bào)進(jìn)行排隊(duì)(通常用于將數(shù)據(jù)報(bào)給用戶空間的進(jìn)程進(jìn)行處理)

　　NF_REPEAT 再次調(diào)用該鉤子函數(shù)

　　一個(gè)基于Netfilter框架的、稱為IPtables的數(shù)據(jù)報(bào)選擇系統(tǒng)在Linux2.4內(nèi)核中被應(yīng)用，其實(shí)它就是IPchains的后繼工具，但卻有更強(qiáng)的可擴(kuò)展性。內(nèi)核模塊可以注冊(cè)一個(gè)新的規(guī)則表(table)，并要求數(shù)據(jù)報(bào)流經(jīng)指定的規(guī)則表。這種數(shù)據(jù)報(bào)選擇用于實(shí)現(xiàn)數(shù)據(jù)報(bào)過(guò)濾(filter表)，網(wǎng)絡(luò)地址轉(zhuǎn)換(Nat表)及數(shù)據(jù)報(bào)處理(Mangle表)。 Linux2.4內(nèi)核提供的這三種數(shù)據(jù)報(bào)處理功能都基于Netfilter的鉤子函數(shù)和IP表。它們是獨(dú)立的模塊，相互之間是獨(dú)立的。它們都完美的集成到由Netfileter提供的框架中。

　　包過(guò)濾

　　Filter表格不會(huì)對(duì)數(shù)據(jù)報(bào)進(jìn)行修改，而只對(duì)數(shù)據(jù)報(bào)進(jìn)行過(guò)濾。IPtables優(yōu)于IPchains的一個(gè)方面就是它更為小巧和快速。它是通過(guò)鉤子函數(shù)NF_IP_LOCAL_IN, NF_IP_FORWARD及NF_IP_LOCAL_OUT接入Netfilter框架的。因此對(duì)于任何一個(gè)數(shù) 報(bào)只有一個(gè)地方對(duì)其進(jìn)行過(guò)濾。這相對(duì)IPchains來(lái)說(shuō)是一個(gè)巨大的改進(jìn)，因?yàn)樵贗Pchains中一個(gè)被轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)會(huì)遍歷三條鏈。

　　NAT

　　NAT表格監(jiān)聽(tīng)三個(gè)Netfilter鉤子函數(shù)：NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING及NF_IP_LOCAL_OUT。 NF_IP_PRE_ROUTING實(shí)現(xiàn)對(duì)需要轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)的源地址進(jìn)行地址轉(zhuǎn)換而NF_IP_POST_ROUTING則對(duì)需要轉(zhuǎn)發(fā)的數(shù)據(jù)包的目的地址進(jìn)行地址轉(zhuǎn)換。對(duì)于本地?cái)?shù)據(jù)報(bào)的目的地址的轉(zhuǎn)換則由NF_IP_LOCAL_OUT來(lái)實(shí)現(xiàn)。NAT表格不同于filter表格，因?yàn)橹挥行逻B接的第一個(gè)數(shù)據(jù)報(bào)將遍歷表格，而隨后的數(shù)據(jù)報(bào)將根據(jù)第一個(gè)數(shù)據(jù)報(bào)的結(jié)果進(jìn)行同樣的轉(zhuǎn)換處理。NAT表格被用在源NAT,目的NAT，偽裝(其是源NAT的一個(gè)特例)及透明代理(其是目的NAT的一個(gè)特例)。

#p#副標(biāo)題#e#

　　數(shù)據(jù)報(bào)處理(Packet Mangling)

　　Mangle表格在NF_IP_PRE_ROUTING和NF_IP_LOCAL_OUT鉤子中進(jìn)行注冊(cè)。使用 mangle表，可以實(shí)現(xiàn)對(duì)數(shù)據(jù)報(bào)的修改或給數(shù)據(jù)報(bào)附上一些帶外數(shù)據(jù)。當(dāng)前mangle表支持修改TOS位及設(shè)置skb的nfmard字段。

　　源碼分析

　　如果我們想加入自己的代碼,便要用nf_register_hook函數(shù)，其函數(shù)原型為：

int nf_register_hook(struct nf_hook_ops *reg)　
struct nf_hook_ops　
{　
struct list_head list;　
/* User fills in from here down. */　
nf_hookfn *hook;　
int pf;　
int hooknum;　
/* Hooks are ordered in ascending priority. */　
int priority;　
};

　　我們的工作便是生成一個(gè)struct nf_hook_ops結(jié)構(gòu)的實(shí)例，并用nf_register_hook將其HOOK上。其中l(wèi)ist項(xiàng)我們總要初始化為{NULL,NULL}；由于一般在IP層工作，pf總是PF_INET；hooknum就是我們選擇的HOOK點(diǎn);一個(gè)HOOK點(diǎn)可能掛多個(gè)處理函數(shù)，誰(shuí)先誰(shuí)后，便要看優(yōu)先級(jí)，即priority的指定了。Netfilter_IPv4.h中用一個(gè)枚舉類型指定了內(nèi)置的處理函數(shù)的優(yōu)先級(jí)：

enum nf_IP_hook_priorities {　
NF_IP_PRI_FIRST = INT_MIN,　
NF_IP_PRI_CONNTRACK = -200,　
NF_IP_PRI_MANGLE = -150,　
NF_IP_PRI_NAT_DST = -100,　
NF_IP_PRI_FILTER = 0,　
NF_IP_PRI_NAT_SRC = 100,　
NF_IP_PRI_LAST = INT_MAX,　
};

　　Hook是提供的處理函數(shù)，也就是我們的主要工作，其原型為：

unsigned int nf_hookfn(unsigned int hooknum,　
struct sk_buff **skb,　
const struct net_device *in,　
const struct net_device *out,　
int (*okfn)(struct sk_buff *));

　　它的五個(gè)參數(shù)將由NFHOOK宏傳進(jìn)去。nf_register_hook根據(jù)reg中注冊(cè)的協(xié)議簇類型和優(yōu)先級(jí)在nf_hooks中找到相應(yīng)的位置并插入到此表中。_hooks[NPROTO][NF_MAX_HOOKS]在Netfilter初始化時(shí)（Netfilter_init／Netfilter.c,而它在sock_init時(shí)調(diào)用）已經(jīng)初始為一個(gè)空表。

　　例如IPtable在初始化時(shí)（init/IPtable_filter.c）調(diào)用nf_register_hook注冊(cè)他的hook函數(shù)。

static struct nf_hook_ops IPt_ops[]　
= { { { NULL, NULL }, IPt_hook, PF_INET, NF_IP_LOCAL_IN, NF_IP_PRI_FILTER },　
{ { NULL, NULL }, IPt_hook, PF_INET, NF_IP_FORWARD, NF_IP_PRI_FILTER },　
{ { NULL, NULL }, IPt_local_out_hook, PF_INET, NF_IP_LOCAL_OUT,　
NF_IP_PRI_FILTER }　
};　
mangle在init/IPtable_mangle.c中注冊(cè)它自己的hook函數(shù)?！?br>static struct nf_hook_ops IPt_ops[]　
= { { { NULL, NULL }, IPt_hook, PF_INET, NF_IP_PRE_ROUTING, NF_IP_PRI_MANGLE },　
{ { NULL, NULL }, IPt_local_out_hook, PF_INET, NF_IP_LOCAL_OUT,　
{NF_IP_PRI_MANGLE }　
};

　　NAT在init/IP_nat_standalone.c中注冊(cè)它自己的hook函數(shù)

　　/*包過(guò)濾前，更改目的地址*/

　　static struct nf_hook_ops IP_nat_in_ops

關(guān)鍵詞標(biāo)簽：Linux,防火墻

相關(guān)閱讀

文章評(píng)論

查看所有0條評(píng)論>>