基于linux网络控制系统.docVIP

基于linux网络控制系统 　　[摘 要]在Linux相关源码的基础上对Linux内核防火墙框架Netfilter/Iptables进行了研究，并利用HOOK函数，结合图书馆为了保证数据和网络安全的具体要求，举出实例，说明如何利用Netfilter/Iptables构建防火墙，保护网络的安全。 　　[关键词]Netfilter Iptables Linux 防火墙 　　中图分类号：TP3文献标识码：A 文章编号：1671－7597（2008）0320049－02 　　 　　一、Linux内核防火墙概述 　　 　　Linux从1.1内核开始就支持数据包过滤功能。随着Linux 2.3.15版本的发布产生了Netfilter，实现了状态包过滤，NAT技术和灵活的可扩展结构。在公布2.4内核中推出了一套全新的通用框架Netfilter，其用户空间工具称之为iptables，这被业内称为第三代Linux防火墙，Netfilter框架在最新发布的2.6内核中继续使用。 　　Linux 2.6内核防火墙的底层是Netfilter结构，位于Linux网络层（IP层）和防火墙内核功能模块之间。Netfilter主要包含数据包过滤和连接跟踪两个独立的功能，其中数据包过滤是防火墙的基本功能，而连接跟踪功能则使Netfilter成为了一个完全意义上的状态检测防火墙。 　　 　　二、Linux的netfilter架构分析 　　 　　（一）Netfilter概述 　　netfilter是一系列嵌入协议栈的钩子，当前Netfilter所支持的协议栈包括iPv4，IPv6和DECnet。在本文中所论述的是IPv4和IPv6两种协议栈的情况，不涉及DECnet。在Linux内核中，理想化的IPv4和IPv6数据包在Netfilter框架的流向图如图 所示： 　　 　　数据包从左边进入系统，进行IP校验和，数据包流经Netfiler框架的第一个钩子NF_IP_PREROUTING。进入路由代码，在该处决定该数据包是转发还是发往本机。若该数据包是发给本机的，则数据流经过Netfilter钩子NF_IP_LOCAL_IN之后才能传递给本机。若该数据包转发则它被Netfilter钩子NF_IP_FORWARD处理。经过转发的数据包经过最后一个Netfilter钩子NF_IP_POSTROUTING处理以后，传输出系统。本机产生的数据经过钩子NF_IP_LOCAL_OUT处理，进行路由选择处理，通过NF_IP_POSTROUTING发送出本系统。 　　（二）IPTABLES 　　基于Netfilter框架，称为iptables的数据报选择系统在Linux2.4内核中被应用。内核模块可以注册一个新的规则表（table表），并要求数据报流经指定的规则表。这种数据报选择用于实现数据报过滤（filter表），网络地址转换（nat表）及数据报处理（mangle表）。 　　Linux2.6内核提供的这三种数据报处理功能都基于Netfilter的钩子函数和IP表。它们是独立的模块，相互之间是独立的。它们都完美的集成到由Netfilter提供的框架中。 　　1．包过滤（filter） 　　filter表不会对数据报进行修改，而只对数据报进行过滤。iptables优于ipchains的一个方面就是它更为小巧和快速。它是通过钩子函数NF_IP_LOCAL_IN，NF_IP_FORWARD及NF_IP_LOCAL_OUT接入Netfilter框架的。因此对于任何一个数据报只有一个地方对其进行过滤。这相对ipchains来说是一个巨大的改进，因为在ipchains中一个被转发的数据报会遍历三条链。 　　2．网络地址转换（NAT） 　　NAT表示监听三个Netfilter钩子函数:NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING和NF_IP_LOCAL_OUT。NF_IP_PRE_ROUTING实现对需要转发的数据报的源地址进行地址转换。NF_IP_POST_ROUTING则对需要转发的数据包的目的地址进行地址转换。对于本地数据报的目的地址的转换则由NF_IP_LOCAL_OUT来实现。 　　NAT表不同于filter表，因为只有新连接的第一个数据报将遍历NAT表，而随后的数据报将根据第一个数据报的结果进行同样的转换处理。 　　NAT表用于源NAT，目的NAT，伪装（是源NAT的一个特例）及透明代理（是目的NAT的一个特例）。 　　3．数据报处理（mangle） 　　mangle表在NF_IP_PRE_ROUTING和NF_IP_LOCAL_OUT钩子中进行注册。使用mangle表，可以实现对数据报的修改或给数据报附