Netfilter框架完全解析整理.pdfVIP

Netfilter 框架 目录 1 网络通信 1.1 网络通信的基本模型 1.2 协议栈底层机制 2 Netfilter 2.1Netfilter 介绍 2.2 钩子函数返回值 2.3 hook 点 2.4 协议栈切入 Netfilter 框架 3 Netfilter 的实现方式 3.1 nf_hooks[][] 结构 3.2 nf_hook_ops 3.3 增加新的钩子函数 3.4 基于源接口的数据包过滤钩子函数 4 iptables 防火墙内核模块 4.1 iptables 4.2 Netfilter 框架防火墙 iptables hook 函数分类 4.3 iptables 基础 4.4 iptables 命令格式 5 连接跟踪机制 5.1.重要数据结构 5.2 重要函数 5.3 链接跟踪建立的三条路径 5.4 IP 层接收和发送数据包进入连接跟踪钩子函数的入口 5.5 连接跟踪的流程分析 1 网络通信 1.1 网络通信的基本模型 在数据的发送过程中，从上至下依次是“加头” 的过程，每到达一层数据就被会加上该 层的头部；与此同时，接受数据方就是个“剥头”的过程，从网卡收上包来之后，在往协议 栈的上层传递过程中依次剥去每层的头部，最终到达用户那儿的就是裸数据了。 1.2 协议栈底层机制 “栈”模式底层机制基本就是像下面这个样子： 对于收到的每个数据包，都从“ A ”点进来，经过路由判决，如果是发送给本机的就经 过“ B”点，然后往协议栈的上层继续传递；否则，如果该数据包的目的地是不本机，那么 就经过“ C ”点，然后顺着“ E ”点将该包转发出去。 对于发送的每个数据包， 首先也有一个路由判决， 以确定该包是从哪个接口出去， 然后 经过“ D ”点，最后也是顺着“ E”点将该包发送出去。 协议栈五个关键点 A ，B ，C ，D 和 E 就是我们 Netfilter 大展拳脚的地方了。 2 Netfilter 2.1 Netfilter 介绍 Netfilter 是 Linux 2.4.x 引入的一个子系统，它作为一个通用的、抽象的框架，提供一整 套的 hook 函数的管理机制，使得诸如数据包过滤、网络地址转换 (NAT) 和基于协议类型的 连接跟踪成为了可能。 Netfilter 在内核中位置如下图所示： 这幅图，很直观的反应了用户空间的 iptables 和内核空间的基于 Netfilter 的 ip_tables 模 块之间的关系和其通讯方式，以及 Netfilter 在这其中所扮演的角色。 Netfilter 在 netfilter_ipv4.h 中将那五个关键点 “ABCDE ”上来。 重新命名， 如下图所示。 2.2 钩子函数返回值 在每个关键点上，有很多已经按照优先级预先注册了的回调函数 (这些函数称为“钩子 函数” )埋伏在这些关键点，形成了一条链。对于每个到来的数据包会依次被那些回调函数 “调戏”一番再视情况是将其放行， 丢弃还是怎么滴。但是无论如何， 这些回调函数最后必 须向 Netfilter 报告一下该数据包的死活情况， 因为毕竟每个数据包都是 Netfilter 从人家协议 栈那儿借调过来给兄弟们 Happy 的，别个再怎么滴也总得“活要见人，死要见尸”吧。每 个钩子函数最后必须向 Netfilter 框架返回下列几个值其中之一： n NF_ACCEPT 继续正常传输