netfilter 深入数据规则存储分析--

《netfilter 深入数据规则存储分析--》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、Netfilter分析：这是完整的Netfilter源码分析一、概述1.Netfilter/IPTables框架简介2.主要源代码文件二、Netfilter/IPTables-IPv4总体架构1.Netfilter的HOOK机制2.IPTables基础模块3.具体功能模块三、HOOK的实现1.Netfilter-IPv4中的HOOK2.HOOK的调用3.HOOK点的实现4.HOOK的注册和注销四、IPTables系统1.表－规则系统2.表的实现3.规则的实现4.规则的使用5.规则的扩展五、数据报过滤模块——

2、filter表1.概述2.filter表的定义和初始化3.filter表的实现六、连接跟踪模块（Conntrack）1.概述2.连接状态的管理3.连接跟踪的实现4.协议的扩展七、网络地址转换模块（NetworkAddressTranslation）1.概述2.基于连接跟踪的相关数据结构3.nat表的实现4.协议的扩展八、数据报修改模块──mangle表1.概述2.mangle表的实现3.数据报的修改九、其它高级功能模块一、概述1.Netfilter/IPTables框架简介Netfilter/IPTable

3、s是继2.0.x的IPfwadm、2.2.x的IPchains之后，新一代的Linux防火墙机制。Netfilter采用模块化设计，具有良好的可扩充性。其重要工具模块IPTables连接到Netfilter的架构中，并允许使用者对数据报进行过滤、地址转换、处理等操作。Netfilter提供了一个框架，将对网络代码的直接干涉降到最低，并允许用规定的接口将其他包处理代码以模块的形式添加到内核中，具有极强的灵活性。2.主要源代码文件Netfilter主文件：net/core/netfilter.cNetfilte

4、r主头文件：include/linux/netfilter.hIPv4相关：c文件：net/ipv4/netfilter/*.c头文件：include/linux/netfilter_ipv4.hinclude/linux/netfilter_ipv4/*.hIPv4协议栈主体的部分c文件，特别是与数据报传送过程有关的部分：ip_input.c，ip_forward.c，ip_output.c，ip_fragment.c等二、Netfilter/IPTables-IPv4总体架构Netfilter主要通过表

5、、链实现规则，可以这么说，Netfilter是表的容器，表是链的容器，链是规则的容器，最终形成对数据报处理规则的实现。详细地说，Netfilter/IPTables的体系结构可以分为三个大部分：1.Netfilter的HOOK机制Netfilter的通用框架不依赖于具体的协议，而是为每种网络协议定义一套HOOK函数。这些HOOK函数在数据报经过协议栈的几个关键点时被调用，在这几个点中，协议栈将数据报及HOOK函数标号作为参数，传递给Netfilter框架。对于它在网络堆栈中增加的这些HOOK，内核的任何模块

6、可以对每种协议的一个或多个HOOK进行注册，实现挂接。这样当某个数据报被传递给Netfilter框架时，内核能检测到是否有任何模块对该协议和HOOK函数进行了注册。若注册了，则调用该模块的注册时使用的回调函数，这样这些模块就有机会检查、修改、丢弃该数据报及指示Netfilter将该数据报传入用户空间的队列。这样，HOOK提供了一种方便的机制：在数据报通过Linux内核的不同位置上截获和操作处理数据报。2.IPTables基础模块IPTables基础模块实现了三个表来筛选各种数据报，具体地讲，Linux2.4

7、内核提供的这三种数据报的处理功能是相互间独立的模块，都基于Netfilter的HOOK函数和各种表、链实现。这三个表包括：filter表，nat表以及mangle表。3.具体功能模块数据报过滤模块连接跟踪模块（Conntrack）网络地址转换模块（NAT）数据报修改模块（mangle）其它高级功能模块于是，Netfilter/IPTables总体架构如图所示三、HOOK的实现1.Netfilter-IPv4中的HOOKNetfilter模块需要使用HOOK来启用函数的动态钩接，它在IPv4中定义了五个HOO

8、K（位于文件include/linux/netfilter_ipv4.h，Line39），分别对应0-4的hooknum简单地说，数据报经过各个HOOK的流程如下：数据报从进入系统，进行IP校验以后，首先经过第一个HOOK函数NF_IP_PRE_ROUTING进行处理；然后就进入路由代码，其决定该数据报是需要转发还是发给本机的；若该数据报是发被本机的，则该数据经过HOOK函数NF_IP_LOCAL_IN处理以后然