网站大量收购独家精品文档,联系QQ:2885784924

利用netfilter构建用户态防火墙.pptVIP

  1. 1、本文档共22页,可阅读全部内容。
  2. 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
  3. 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载
  4. 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
  5. 5、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
  6. 6、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们
  7. 7、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
  8. 8、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
防火墙II——利用netfilter构建用户级防火墙 2012-12 课程内容 Netfilter概述 Netfilter工作机制 利用netfilter构建用户级防火墙原理 Libipq工作流程与相关函数 实验题目 Netfilter概述 Netfilter 更准确地讲是Linux 内核中,一个包过滤框架,默认地,它在这个框架上实现了包过滤、状态检测、网络地址转换和包标记等多种功能,因为它设计的开放性,任何有内核开发经验的开发人员,也可以很容易地利用它提供接口,在内核的数据链路层、网络层,实现自己的功能模块。 Netfilter工作机制 Netfilter的五种操作 NF_DROP 丢弃该报文,释放所有与该报文相关的资源; NF_ACCEPT 接受该报文,并继续处理; NF_STOLEN 该报文已经被HOOK函数接管,协议栈无须继续处理; NF_QUEUE 将该报文传递到用户态去做进一步的处理; NF_REPEAT 再次调用本HOOK函数。 利用netfilter构建防火墙 在内核中注册自己的钩子函数; 利用IP_QUEUE实现内核与用户层之间的数据包交换,实现用户态防火墙 利用netfilter构建用户态防火墙机制 当HOOK处理函数返回NF_QUEUE值时,内核协议栈将通过Linux NetLink通信机制把当前报文传递到用户态,由用户态的防火墙程序进行处理。这样,只要能够在相应的HOOK点上返回NF_QUEUE值,就可以安心地在用户态使用自己的程序来过滤报文了,这个功能可以由iptables实现。 Libipq简介 Libipq是NetFilter框架的重要组成部分。任何时候在任何NetFilter规则链中,数据报都可以被排队转发到用户空间去。用户进程能对数据报进行任何处理。处理结束以后,用户进程可以将该数据报重新注入内核或者设置一个对数据报的目标动作。 开发流程 设置过滤环境 编写应用程序 设置过滤环境 加载过滤需要的内核模块 # modprobe iptable_filter # modprobe ip_queue 设置过滤规则 iptables -A OUTPUT -p icmp -j QUEUE Iptables -A OUTPUT –p tcp –j QUEUE Libipq程序框架 初始化 ipq_create_handle() 设置包复制规则 ipq_set_mode() 读取包数据 ipq_read() 包处理 ipq_set_verdict() } 销毁 ipq_destroy_handle() 包过滤处理循环 while(1) { 分析包 ipq_message_type() ipq_get_packet() Libipq接口函数(1) 建立ipq的handle: struct ipq_handle *ipq_create_handle(u_int32_t flags, u_int32_t protocol); flags:基本上没用,通常设为0; protocol:制定想获取协议的队列,PF_INET为IPV4队列, PF_INET6为IPV6队列 成功:返回一个不为空的指针; 失败:返回一个NULL指针 ? 元数据 struct nlmsghdr { __u32 nlmsg_len; /* Length of message including header */ __u16 nlmsg_type; /* Message content */ __u16 nlmsg_flags; /* Additional flags */ __u32 nlmsg_seq; /* Sequence number */ __u32 nlmsg_pid; /* Sending process PID */ }; Libipq接口函数(2) 设置IPQ的拷贝模式:用户空间来设置ip_queue的接收数据模式的. int ipq_set_mode(const struct ipq_handle *h, u_int8_t mode, size_t len) h:是通过ipq_create_handle ()获得的句柄指针; mode:设定拷贝模式,IPQ_COPY_META和IPQ_COPY_PACKET。当为IPQ_COPY_META时,内核将在其后的报文传递中只传递“报文的元数据”;当为IPQ_COPY_PACKET时,内核将同时传递“报文的元数据”和报文本身 len:请求拷贝的报文长度 成功:返回一个非0的正数; 失败:返回-1; Libipq接口函数(3) 从内核中的packet queue中读取数据包,将其

文档评论(0)

wuyoujun92 + 关注
实名认证
文档贡献者

该用户很懒,什么也没介绍

1亿VIP精品文档

相关文档