WEB开发网
开发学院网络安全防火墙 如何用IP Queue机制编写用户态防火墙一 阅读

如何用IP Queue机制编写用户态防火墙一

 2008-12-18 12:21:50 来源:WEB开发网   
核心提示:一般而言,防火墙都是嵌入在Linux内核协议栈的处理过程中,如何用IP Queue机制编写用户态防火墙一,运行在内核地址空间,这就要求开发者深入理解和掌握内核,具体分为以下各值:NF_DROP 丢弃该报文,释放所有与该报文相关的资源;NF_ACCEPT 接受该报文,以及内核协议栈的代码,对于普通开发者来说

一般而言,防火墙都是嵌入在Linux内核协议栈的处理过程中,运行在内核地址空间。这就要求开发者深入理解和掌握内核,以及内核协议栈的代码。对于普通开发者来说,此要求显然过于苛刻。为此,Linux内核在Netfilter框架的基础上提供了IP Queue机制,使得基于用户态(User Mode)的防火墙开发成为可能。

下面详细阐述IP Queue的原理及其编程接口。

内核报文处理流程

首先,大致了解一下内核处理数据报文的流程。正确理解这个流程,对于编写完善的防火墙非常有帮助。

如图1所示,在内核的IP报文处理过程中,散布了一些HOOK点(图中椭圆形的节点),在这些点上,可以挂载外部处理函数,进行定制的报文处理。

如何用IP Queue机制编写用户态防火墙一

图1 Linux内核报文处理流程简图

数据报文从图1左边“接收”处进入内核协议栈,经过HOOK点PRE_ROUTING后,进行路由选择。若是发往本机的IP报文,则在经过HOOK点LOCAL_IN后提交给本地的上层协议处理。如果是需要转发的IP报文,则该报文在依次经过FORWARD和POST_ROUTING两个HOOK点后,被发往网络接口。

本地输出的IP报文将先通过HOOK点LOCAL_OUT,再根据路由选择,经过HOOK点POST_ROUTING以后,被发往网络接口。

上述这些HOOK点挂载的处理函数将返回适当的值,告知协议栈应该如何继续处理当前报文。具体分为以下各值:

NF_DROP 丢弃该报文,释放所有与该报文相关的资源;

NF_ACCEPT 接受该报文,并继续处理;

NF_STOLEN 该报文已经被HOOK函数接管,协议栈无须继续处理;

1 2  下一页

Tags:如何 IP Queue

编辑录入:爽爽 [复制链接] [打 印]
赞助商链接