基于iptables_的包内容过滤防火墙的设计与实现.pdfVIP

中国科技论文在线 基于iptables 的包内容过滤防火墙的设计与实现 关尔昱，周亚建 北京邮电大学计算机学院，北京 (100876) E-mail:guaneryu@163.com 摘 要：本文利用iptables 提供的libipq 函数库，用C 语言在Linux 平台下编写一个用户空 间程序，与iptables 规则配合起来对数据包内容的关键字匹配，达到检测数据包内容的检查 功能。测试结果表明该程序能有效的与iptables 规则相配合，并且接受或者丢弃有关键字的 数据包。 关键词：防火墙；iptables；内容过滤；libipq 1 引言 [1] iptables 是Linux 环境中提供的开放源代码的防火墙软件 ，netfilter 是内置于Linux 2.4x 及其以后版本中的一套构架[2]，netfilter/iptables 已经包含在了2.4 版本以后的内核当中，它 可以实现防火墙和NAT( 网络地址翻译)等功能。netfilter 工作在内核部分，而iptables 则是让 用户定义规则集的用户空间程序。 由于目前很多网络攻击方式都是基于数据包的数据部分。但是iptables 还仅仅是对数据 包头信息进行检查，而对数据包的内容则无能为力，这使其还不能完全胜任抵御网络攻击的 角色。 本文设计并实现了一种基于iptables 的数据包内容过滤防火墙，可以大大提高网络的安 全性。 2 包内容过滤的设计 2.1 libipq 库函数说明 Iptables 通过目标动作QUEUE，可以实现把匹配到的数据包传送到用户空间并且把这些 包加入到一个队列当中。Libipq 就是用来处理用户空间数据包队列的开发库。利用libipq 开 发库，可以在用户空间处理iptables 从内核空间传送过来的这些数据包，并且重新注入到内 核当中[3] 。 在实际应用中，如果需要把哪些包送到用户空间队列，就要通过 iptables 命令以及 QUEUE 目标动作来实现。比如如下命令： # iptables –t filter –A INPUT –p tcp –j QUEUE 就把filter 表中的INPUT 链的tcp 协议包发送到用户空间队列，等待用户编写的应用程 序来处理。如果没有相应的程序来处理这些包那么它们将会被丢弃。数据包被用户空间程序 处理之后再被重新注入到内核中。 下面是libipq 库函数的用户接口： -1- 中国科技论文在线 表1 libipq 用户接口说明 函数名 功能 ipq_create_handle 初始化函数库，并返回一个句柄 ipq_set_mode 设置队列的复制模式，是复制整个数据包还是仅仅 复制包头到用户空间 ipq_read 等待从ip_queue 传来的消息队列，并把消息复制到 buffer 中 ipq_message_type 决定buffer 中的消息的类型 ipq_get_packet 从buffer 中获取包内容 ipq_ge