利用netfilter构建用户态防火墙幻灯片.pptVIP

防火墙II——利用netfilter构建用户级防火墙 2012-12 课程内容 Netfilter概述 Netfilter工作机制 利用netfilter构建用户级防火墙原理 Libipq工作流程与相关函数 实验题目 Netfilter概述 Netfilter 更准确地讲是Linux 内核中，一个包过滤框架，默认地，它在这个框架上实现了包过滤、状态检测、网络地址转换和包标记等多种功能，因为它设计的开放性，任何有内核开发经验的开发人员，也可以很容易地利用它提供接口，在内核的数据链路层、网络层，实现自己的功能模块。 Netfilter工作机制 Netfilter的五种操作 NF_DROP 丢弃该报文，释放所有与该报文相关的资源； NF_ACCEPT 接受该报文，并继续处理； NF_STOLEN 该报文已经被HOOK函数接管，协议栈无须继续处理； NF_QUEUE 将该报文传递到用户态去做进一步的处理； NF_REPEAT 再次调用本HOOK函数。 利用netfilter构建防火墙 在内核中注册自己的钩子函数； 利用IP_QUEUE实现内核与用户层之间的数据包交换，实现用户态防火墙 利用netfilter构建用户态防火墙机制 当HOOK处理函数返回NF_QUEUE值时，内核协议栈将通过Linux NetLink通信机制把当前报文传递到用户态，由用户态的防火墙程序进行处理。这样，只要能够在相应的HOOK点上返回NF_QUEUE值，就可以安心地在用户态使用自己的程序来过滤报文了，这个功能可以由iptables实现。 Libipq简介 Libipq是NetFilter框架的重要组成部分。任何时候在任何NetFilter规则链中，数据报都可以被排队转发到用户空间去。用户进程能对数据报进行任何处理。处理结束以后，用户进程可以将该数据报重新注入内核或者设置一个对数据报的目标动作。 开发流程 设置过滤环境 编写应用程序 设置过滤环境 加载过滤需要的内核模块 # modprobe iptable_filter # modprobe ip_queue 设置过滤规则 iptables -A OUTPUT -p icmp -j QUEUE Iptables -A OUTPUT –p tcp –j QUEUE Libipq程序框架 初始化 ipq_create_handle() 设置包复制规则 ipq_set_mode() 读取包数据 ipq_read() 包处理 ipq_set_verdict() } 销毁 ipq_destroy_handle() 包过滤处理循环 while(1) { 分析包 ipq_message_type() ipq_get_packet() Libipq接口函数（1） 建立ipq的handle:struct ipq_handle *ipq_create_handle(u_int32_t flags, u_int32_t protocol); flags:基本上没用，通常设为0； protocol:制定想获取协议的队列，PF_INET为IPV4队列， PF_INET6为IPV6队列 成功：返回一个不为空的指针； 失败：返回一个NULL指针 ? 元数据 struct nlmsghdr { __u32 nlmsg_len; /* Length of message including header */ __u16 nlmsg_type; /* Message content */ __u16 nlmsg_flags; /* Additional flags */ __u32 nlmsg_seq; /* Sequence number */ __u32 nlmsg_pid; /* Sending process PID */ }; Libipq接口函数（2） 设置IPQ的拷贝模式：用户空间来设置ip_queue的接收数据模式的. int ipq_set_mode(const struct ipq_handle *h, u_int8_t mode, size_t len) h:是通过ipq_create_handle ()获得的句柄指针； mode:设定拷贝模式，IPQ_COPY_META和IPQ_COPY_PACKET。当为IPQ_COPY_META时，内核将在其后的报文传递中只传递“报文的元数据”；当为IPQ_COPY_PACKET时，内核将同时传递“报文的元数据”和报文本身 len:请求拷贝的报文长度 成功：返回一个非0的正数； 失败：返回-1； Libipq接口函数（3） 从内核中的packet queue中读取数据包，将其