如何用IP Queue机制编写用户态防火墙一

核心提示：一般而言，防火墙都是嵌入在Linux内核协议栈的处理过程中，如何用IP Queue机制编写用户态防火墙一，运行在内核地址空间，这就要求开发者深入理解和掌握内核，具体分为以下各值：NF_DROP 丢弃该报文，释放所有与该报文相关的资源；NF_ACCEPT 接受该报文，以及内核协议栈的代码，对于普通开发者来说

一般而言，防火墙都是嵌入在Linux内核协议栈的处理过程中，运行在内核地址空间。这就要求开发者深入理解和掌握内核，以及内核协议栈的代码。对于普通开发者来说，此要求显然过于苛刻。为此，Linux内核在Netfilter框架的基础上提供了IP Queue机制，使得基于用户态（User Mode）的防火墙开发成为可能。

下面详细阐述IP Queue的原理及其编程接口。

内核报文处理流程

首先，大致了解一下内核处理数据报文的流程。正确理解这个流程，对于编写完善的防火墙非常有帮助。

如图1所示，在内核的IP报文处理过程中，散布了一些HOOK点(图中椭圆形的节点)，在这些点上，可以挂载外部处理函数，进行定制的报文处理。

图1 Linux内核报文处理流程简图

数据报文从图1左边“接收”处进入内核协议栈，经过HOOK点PRE_ROUTING后，进行路由选择。若是发往本机的IP报文，则在经过HOOK点LOCAL_IN后提交给本地的上层协议处理。如果是需要转发的IP报文，则该报文在依次经过FORWARD和POST_ROUTING两个HOOK点后，被发往网络接口。

本地输出的IP报文将先通过HOOK点LOCAL_OUT，再根据路由选择，经过HOOK点POST_ROUTING以后，被发往网络接口。

上述这些HOOK点挂载的处理函数将返回适当的值，告知协议栈应该如何继续处理当前报文。具体分为以下各值：

NF_DROP 丢弃该报文，释放所有与该报文相关的资源；

NF_ACCEPT 接受该报文，并继续处理；

NF_STOLEN 该报文已经被HOOK函数接管，协议栈无须继续处理；