- 1、本文档共22页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
- 5、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
- 6、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
防火墙II——利用netfilter构建用户级防火墙 2012-12 课程内容 Netfilter概述 Netfilter工作机制 利用netfilter构建用户级防火墙原理 Libipq工作流程与相关函数 实验题目 Netfilter概述 Netfilter 更准确地讲是Linux 内核中,一个包过滤框架,默认地,它在这个框架上实现了包过滤、状态检测、网络地址转换和包标记等多种功能,因为它设计的开放性,任何有内核开发经验的开发人员,也可以很容易地利用它提供接口,在内核的数据链路层、网络层,实现自己的功能模块。 Netfilter工作机制 Netfilter的五种操作 NF_DROP 丢弃该报文,释放所有与该报文相关的资源; NF_ACCEPT 接受该报文,并继续处理; NF_STOLEN 该报文已经被HOOK函数接管,协议栈无须继续处理; NF_QUEUE 将该报文传递到用户态去做进一步的处理; NF_REPEAT 再次调用本HOOK函数。 利用netfilter构建防火墙 在内核中注册自己的钩子函数; 利用IP_QUEUE实现内核与用户层之间的数据包交换,实现用户态防火墙 利用netfilter构建用户态防火墙机制 当HOOK处理函数返回NF_QUEUE值时,内核协议栈将通过Linux NetLink通信机制把当前报文传递到用户态,由用户态的防火墙程序进行处理。这样,只要能够在相应的HOOK点上返回NF_QUEUE值,就可以安心地在用户态使用自己的程序来过滤报文了,这个功能可以由iptables实现。 Libipq简介 Libipq是NetFilter框架的重要组成部分。任何时候在任何NetFilter规则链中,数据报都可以被排队转发到用户空间去。用户进程能对数据报进行任何处理。处理结束以后,用户进程可以将该数据报重新注入内核或者设置一个对数据报的目标动作。 开发流程 设置过滤环境 编写应用程序 设置过滤环境 加载过滤需要的内核模块 # modprobe iptable_filter # modprobe ip_queue 设置过滤规则 iptables -A OUTPUT -p icmp -j QUEUE Iptables -A OUTPUT –p tcp –j QUEUE Libipq程序框架 初始化 ipq_create_handle() 设置包复制规则 ipq_set_mode() 读取包数据 ipq_read() 包处理 ipq_set_verdict() } 销毁 ipq_destroy_handle() 包过滤处理循环 while(1) { 分析包 ipq_message_type() ipq_get_packet() Libipq接口函数(1) 建立ipq的handle:struct ipq_handle *ipq_create_handle(u_int32_t flags, u_int32_t protocol); flags:基本上没用,通常设为0; protocol:制定想获取协议的队列,PF_INET为IPV4队列, PF_INET6为IPV6队列 成功:返回一个不为空的指针; 失败:返回一个NULL指针 ? 元数据 struct nlmsghdr { __u32 nlmsg_len; /* Length of message including header */ __u16 nlmsg_type; /* Message content */ __u16 nlmsg_flags; /* Additional flags */ __u32 nlmsg_seq; /* Sequence number */ __u32 nlmsg_pid; /* Sending process PID */ }; Libipq接口函数(2) 设置IPQ的拷贝模式:用户空间来设置ip_queue的接收数据模式的. int ipq_set_mode(const struct ipq_handle *h, u_int8_t mode, size_t len) h:是通过ipq_create_handle ()获得的句柄指针; mode:设定拷贝模式,IPQ_COPY_META和IPQ_COPY_PACKET。当为IPQ_COPY_META时,内核将在其后的报文传递中只传递“报文的元数据”;当为IPQ_COPY_PACKET时,内核将同时传递“报文的元数据”和报文本身 len:请求拷贝的报文长度 成功:返回一个非0的正数; 失败:返回-1; Libipq接口函数(3) 从内核中的packet queue中读取数据包,将其
您可能关注的文档
- 初学脚手架工程幻灯片讲解.ppt
- 初步学习3DMAX第2讲.ppt
- 初探系统的提高学习效率的方法.ppt
- 初步设计报告编制规程.ppt
- 初涉采访时的常见问题new.pptx
- 初等函数的幂级数展开式.ppt
- 初等数论不定方程.ppt
- 初等数论第一章引言.ppt
- 初等数论课程教案(总结1).ppt
- 初等教育(英语方向)的专业特色及学习方法王国祥.ppt
- [专精特新]金华永和氟化工有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]重庆升光电力印务有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]无锡巨力重工股份有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]江西凯安新材料集团股份有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]浙江永昌电气股份有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]苏州中创铝业有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]杭州汽轮铸锻有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]浙江美声智能系统有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]汕头市虹桥包装实业有限公司行业竞争力评级分析报告(2023版).pdf
- [专精特新]江西亚中电子科技股份有限公司行业竞争力评级分析报告(2023版).pdf
最近下载
- 江苏省2021年中学生生物学奥林匹克初赛理论试题答案.doc
- 2025年哈尔滨应用职业技术学院单招语文测试题库附答案.docx VIP
- 2025年安徽水利水电职业技术学院高职单招职业技能测试近5年常考版参考题库含答案解析.docx
- 【道氏理论】(完全版).doc
- 分娩镇痛的现状和临床应用课件.ppt
- 学科中心教研组管理方案.docx VIP
- 五年级下册数学单元测试-3长方体和正方体 人教版(含答案).docx
- 2024年安徽水利水电职业技术学院单招职业技能测试题库(考试直接用).docx VIP
- 23S516 混凝土排水管道基础及接口图集.docx VIP
- 数控系统(CNC)系列:Fanuc 31i-B_(6).G代码和M代码详解.docx
文档评论(0)