网络过滤驱动模NetFilter实现文档.docVIP

网络过滤驱动模块NetFilter实现文档 实现功能 网络过滤驱动的主要功能是在局域网（内部网络）的工作环境下实现对未认证的主机的隔离，而不影响通过认证的主机之间的正常通信。 设计实现 本模块采用ndis网络中间层过滤驱动来实现。主要是通过对网卡发送和接收的数据包进行加解密来实现的。这样在一个局域网内，如果两台主机都已经通过认证（即安装了此网络过滤驱动），那么它们之间就不会有通信的障碍，而如果有一台主机没有通过认证（即没有安装此网络过滤驱动），那么它就相当于是一台被隔离的主机，它与其它通过认证的主机之间就不能正常通信。 本模块具体编程实现的时候是考虑基于ddk文档passthru例子来实现的。Ddk中的Passthru例子是一个ndis网络中间层过滤驱动，它实现的功能是：对经过网卡的所有数据包（包括主机网卡接收的和主机发送的）进行截获，然后再向上层协议驱动（对接收数据包）传递，或向下层网卡小端口驱动（对发送数据包）发送，也就是说，passthru对经过网卡的数据包并不做任何处理，只是起一个传递作用（这也可能是passthru名字的来源）。网络过滤驱动模块NetFilter在passthru的基础上，对中间层过滤驱动截获到的数据包里的数据进行处理，具体讲，就是对网卡发送的数据进行加密，对网卡接收的数据进行解密。 实现关键点 基本概念 Packet描述符（Packet Descriptor）、Buffer描述符（Buffer Descriptor）以及它们之间的关系 Packet描述符是一个windows的数据结构，包含了很多的域,其中就包含了Buffer Descriptor，而Buffer Descriptor就对应了系统的虚拟地址，最终与系统的物理地址相对应。详细的packet structure可以参考ddk文档中的Packet Structure文章。这里只对packet descriptor做一个简单必要的介绍：Packet描述符结构图： 图packet structure 其中，Packet Descriptor可以有N个Buffer Descriptor（N = 1），其与Buffer Descriptor的关系如下： N=1时的单Buffer结构（图3）（这里以ping包为例） 图 N1时的多buffer结构：（图4）（这里以ping包为例） 图 考虑到实现的方便问题，在编程实现此模块时，采用了第一种即N=1时的情况。详细见代码。最终两者用NdisChainBufferAtFront函数连接起来，实现构造包含自己的数据的packet，相反释放的时候，则用NdisUnChainBufferAtFront函数来解除packet与buffer的关联关系。 构造包含自己的数据的packet的过程 用文字具体描述如下： 利用接收或者发送packet的接口函数得到数据包（自适应网卡）（或者是单纯的数据（老网卡）的内存地址）的packet descriptor，然后利用自定义的函数来复制packet descriptor的数据内容到自己分配的内存地址，然后对数据进行相应的处理（加密或者解密），然后将经过处理数据内容的内存地址与自己构造的Buffer Descriptor连接起来，最后再与自己构造的Packet Descriptor连接，最终将处理过的数据packet向上或者向下进行传递。 整个模块的（包括接收和发送）的流程图以及几个关键的函数接口 发送模块的流程图： Protocol driver layer Protocol driver layer Miniport driver layer MPSend / MPSendPacket NdisSend 1 2 PtSendComplete NdisMSendComplete 4 3 发送数据函数接口： MpSend(或MpSendPackets) 上述两个接口为发送数据接口，根据ddk文档，必须注册其中的一个函数接口，模块实现的时候，采用的是注册MpSend函数。此接口主要用于截获发送数据packet，在这个函数里，我们对要发送的数据进行加密处理，然后再利用ndis的函数将包含处理过的数据的packet发送出去。此间涉及到一系列分配内存，内存初始化，构造Buffer，构造Packet的操作。 PtSendComplete 此函数主要用于对发送数据接口的善后处理工作。即当数据发送出去后，我们需要对自己分配的内存，构造的Buffer和Packet进行释放。 接收数据模块流程图： 　　　　　　Miniport driver layer Miniport driv