基于Netfilter的可扩展用户层网关程序架构.pdfVIP

基于Netfilter 的可扩展用户层网关程序架构 黄伟 北京邮电大学多媒体中心，北京 （100876 ） E-mail：robin2046@ 摘 要：本文实现了基于Netfilter 的用户层网关程序的架构，利用钩子函数完成了从内核截 获数据包并且发送到用户空间处理，以及将处理完的数据包再发回内核的接口。基于此接口 能够使用用户层的各种工具与开发库实现功能强大的数据包分析处理模块，具有很灵活的扩 展性与广阔的应用前景。 关键词： Netfilter ，钩子函数，模块程序，内核，用户空间 中图分类号：TP393.03 1. 引言 网关是一种能在 OSI 模型的任一层或者跨多层工作的网络设备，一般分为协议网关、 应用网关和安全网关三种，分别提供了网络协议转换、数据格式转换和网络防火墙的功能。 网关的强大功能，决定了它既要能进行复杂的数据包操作，也要有灵活的扩展性。 一般来说，网络应用如防火墙、协议类软件都是工作在操作系统的内核空间。但是Linux 下开发内核程序只能使用 C 语言，而且内核空间中可供使用的函数库相对于用户空间来说 少之又少。加之对