簡單解析Linux系統(tǒng)防火墻框架

Linux系統(tǒng)中的Netfilter提供了一個抽象、通用化的框架，該框架定義的一個子功能的實現(xiàn)就是包過濾子系統(tǒng)，框架包含以下五部分：

1. 為每種網(wǎng)絡(luò)協(xié)議(IPv4、IPv6等)定義一套鉤子函數(shù)(IPv4定義了5個鉤子函數(shù)), 這些鉤子函數(shù)在數(shù)據(jù)報流過協(xié)議棧的幾個關(guān)鍵點被調(diào)用。在這幾個點中，協(xié)議棧將把數(shù)據(jù)報及鉤子函數(shù)標(biāo)號作為參數(shù)調(diào)用Netfilter框架。

2. 內(nèi)核的任何模塊可以對每種協(xié)議的一個或多個鉤子進(jìn)行注冊，實現(xiàn)掛接，這樣當(dāng)某個數(shù)據(jù)包被傳遞給Netfilter框架時，內(nèi)核能檢測是否有任何模塊對該協(xié)議和鉤子函數(shù)進(jìn)行了注冊。若注冊了，則調(diào)用該模塊的注冊時使用的回調(diào)函數(shù)，這樣這些模塊就有機會檢查(可能還會修改)該數(shù)據(jù)包、丟棄該數(shù)據(jù)包及指示Netfilter將該數(shù)據(jù)包傳入用戶空間的隊列。

3 .那些排隊的數(shù)據(jù)包是被傳遞給用戶空間的異步地進(jìn)行處理。一個用戶進(jìn)程能檢查數(shù)據(jù)包，修改數(shù)據(jù)包，甚至可以重新將該數(shù)據(jù)包通過離開內(nèi)核的同一個鉤子函數(shù)中注入到內(nèi)核中。

4. 任何在IP層要被拋棄的IP數(shù)據(jù)包在真正拋棄之前都要進(jìn)行檢查。例如允許模塊檢查IP-Spoofed包(被路由拋棄)。

5.IP層的五個HOOK點的位置如下所示：

(1)NF_IP_PRE_ROUTING：剛剛進(jìn)入網(wǎng)絡(luò)層的數(shù)據(jù)包通過此點(剛剛進(jìn)行完版本號，校驗 和等檢測)，源地址轉(zhuǎn)換在此點進(jìn)行;IP_Input.c中IP_Rcv調(diào)用;

(2)NF_IP_LOCAL_IN：經(jīng)路由查找后，送往本機的通過此檢查點，INPUT包過濾在此點進(jìn)行，IP_local_deliver中調(diào)用;

(3)NF_IP_FORWARD：要轉(zhuǎn)發(fā)的包通過此檢測點，F(xiàn)ORWORD包過濾在此點進(jìn)行;

(4)NF_IP_POST_ROUTING：所有馬上便要通過網(wǎng)絡(luò)設(shè)備出去的包通過此檢測點，內(nèi)置的目的地址轉(zhuǎn)換功能(包括地址偽裝)在此點進(jìn)行;

(5)NF_IP_LOCAL_OUT：本機進(jìn)程發(fā)出的包通過此檢測點，OUTPUT包過濾在此點進(jìn)行。

這些點是已經(jīng)在內(nèi)核中定義好的，內(nèi)核模塊能夠注冊在這些HOOK點進(jìn)行的處理，可使用nf_register_hook函數(shù)指定。在數(shù)據(jù)報經(jīng)過這些鉤子函數(shù)時被調(diào)用，從而模塊可以修改這些數(shù)據(jù)報，并向Netfilter返回如下值：

NF_ACCEPT 繼續(xù)正常傳輸數(shù)據(jù)報

NF_DROP 丟棄該數(shù)據(jù)報，不再傳輸

NF_STOLEN 模塊接管該數(shù)據(jù)報，不要繼續(xù)傳輸該數(shù)據(jù)報

NF_QUEUE 對該數(shù)據(jù)報進(jìn)行排隊(通常用于將數(shù)據(jù)報給用戶空間的進(jìn)程進(jìn)行處理)

NF_REPEAT 再次調(diào)用該鉤子函數(shù)

一個基于Netfilter框架的、稱為IPtables的數(shù)據(jù)報選

服務(wù)器租用/服務(wù)器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]