netfilter源代码及规则存储分析.doc资源-CSDN文库

版权申诉

文档资料

59 浏览量 2022-07-06 09:13:09 上传评论收藏 1.71MB DOC 举报

资源推荐

资源详情

资源评论

Netfilter 分析：这是完整的 Netfilter 源码分析

一、概述

1.Netfilter/IPTables 框架简介

2.主要源代码文件

二、Netfilter/IPTables-IPv4 总体架构

1.Netfilter 的 HOOK 机制

2.IPTables 基础模块

3.具体功能模块

三、HOOK 的实现

1.Netfilter-IPv4 中的 HOOK

2.HOOK 的调用

3.HOOK 点的实现

4.HOOK 的注册和注销

四、IPTables 系统

1.表－规则系统

2.表的实现

3.规则的实现

4.规则的使用

5.规则的扩展

五、数据报过滤模块——filter 表

1.概述

2.filter 表的定义和初始化

3.filter 表的实现

六、连接跟踪模块（Conntrack）

1.概述

2.连接状态的管理

3.连接跟踪的实现

4.协议的扩展

七、网络地址转换模块（Network Address Translation）

1.概述

2.基于连接跟踪的相关数据结构

3.nat 表的实现

4.协议的扩展

八、数据报修改模块──mangle 表

1.概述

2.mangle 表的实现

3.数据报的修改

九、其它高级功能模块

一、概述

1. Netfilter/IPTables 框架简介

Netfilter/IPTables 是继 2.0.x 的 IPfwadm、2.2.x 的 IPchains 之后，新一代的 Linux 防火墙机制。

Netfilter 采用模块化设计，具有良好的可扩充性。其重要工具模块 IPTables 连接到 Netfilter 的架构

中，并允许使用者对数据报进行过滤、地址转换、处理等操作。

Netfilter 提供了一个框架，将对网络代码的直接干涉降到最低，并允许用规定的接口将其他包处理

代码以模块的形式添加到内核中，具有极强的灵活性。

2. 主要源代码文件

Netfilter 主文件：net/core/netfilter.c

Netfilter 主头文件：include/linux/netfilter.h

IPv4 相关： c 文件：net/ipv4/netfilter/*.c

头文件：include/linux/netfilter_ipv4.h

include/linux/netfilter_ipv4/*.h

IPv4 协议栈主体的部分 c 文件，特别是与数据报传送过程有关的部分：

ip_input.c，ip_forward.c，ip_output.c，ip_fragment.c 等

二、Netfilter/IPTables-IPv4 总体架构

Netfilter 主要通过表、链实现规则，可以这么说，Netfilter 是表的容器，表是链的容器，

链是规则的容器，最终形成对数据报处理规则的实现。

详细地说，Netfilter/IPTables 的体系结构可以分为三个大部分：

1. Netfilter 的 HOOK 机制

Netfilter 的通用框架不依赖于具体的协议，而是为每种网络协议定义一套 HOOK 函数。这些 HOOK

函数在数据报经过协议栈的几个关键点时被调用，在这几个点中，协议栈将数据报及 HOOK 函数标号作为

参数，传递给 Netfilter 框架。

对于它在网络堆栈中增加的这些 HOOK，内核的任何模块可以对每种协议的一个或多个 HOOK 进

行注册，实现挂接。这样当某个数据报被传递给 Netfilter 框架时，内核能检测到是否有任何模块对该

协议和 HOOK 函数进行了注册。若注册了，则调用该模块的注册时使用的回调函数，这样这些模块就有机

会检查、修改、丢弃该数据报及指示 Netfilter 将该数据报传入用户空间的队列。

这样，HOOK 提供了一种方便的机制：在数据报通过 Linux 内核的不同位置上截获和操作处理数据报。

2. IPTables 基础模块

IPTables 基础模块实现了三个表来筛选各种数据报，具体地讲，Linux2.4 内核提供的这三种数

据报的处理功能是相互间独立的模块，都基于 Netfilter 的 HOOK 函数和各种表、链实现。这三个表包括：

filter 表，nat 表以及 mangle 表。

3. 具体功能模块

数据报过滤模块

连接跟踪模块（Conntrack）

网络地址转换模块（NAT）

数据报修改模块（mangle）

其它高级功能模块

NF_IP_PRE_ROUTING (0)

数据报在进入路由代码被处理之前，数据报在 IP 数据报接收函数 ip_rcv() （位于

net/ipv4/ip_input.c，Line379）的最后，也就是在传入的数据报被处理之前经过这个 HOOK。在 ip_rcv()

中挂接这个 HOOK 之前，进行的是一些与类型、长度、版本有关的检查。

经过这个 HOOK 处理之后，数据报进入 ip_rcv_finish()（位于 net/ipv4/ip_input.c，Line306），

进行查路由表的工作，并判断该数据报是发给本地机器还是进行转发。

在这个 HOOK 上主要是对数据报作报头检测处理，以捕获异常情况。

涉及功能（优先级顺序）：Conntrack(-200)、mangle(-150)、DNAT(-100)

NF_IP_LOCAL_IN (1)

目的地为本地主机的数据报在 IP 数据报本地投递函数 ip_local_deliver() （位于

net/ipv4/ip_input.c，Line290）的最后经过这个 HOOK。

经过这个 HOOK 处理之后，数据报进入 ip_local_deliver_finish()（位于 net/ipv4/ip_input.c，

Line219）

这样，IPTables 模块就可以利用这个 HOOK 对应的 INPUT 规则链表来对数据报进行规则匹配的筛选

了。防火墙一般建立在这个 HOOK 上。

涉及功能：mangle(-150)、filter(0)、SNAT(100)、Conntrack(INT_MAX-1)

NF_IP_FORWARD (2)

目的地非本地主机的数据报，包括被 NAT 修改过地址的数据报，都要在 IP 数据报转发函数

ip_forward()（位于 net/ipv4/ip_forward.c，Line73）的最后经过这个 HOOK。

经过这个 HOOK 处理之后，数据报进入 ip_forward_finish()（位于 net/ipv4/ip_forward.c，

Line44）

另外，在 net/ipv4/ipmr.c 中的 ipmr_queue_xmit()函数（Line1119）最后也会经过这个 HOOK。（ipmr

为多播相关，估计是在需要通过路由转发多播数据时的处理）

这样，IPTables 模块就可以利用这个 HOOK 对应的 FORWARD 规则链表来对数据报进行规则匹配的筛

选了。

涉及功能：mangle(-150)、filter(0)

NF_IP_LOCAL_OUT (3)

本地主机发出的数据报在 IP 数据报构建/发送函数 ip_queue_xmit()（位于 net/ipv4/ip_output.c，

Line339）、以及 ip_build_and_send_pkt()（位于 net/ipv4/ip_output.c，Line122）的最后经过这个

HOOK。（在数据报处理中，前者最为常用，后者用于那些不传输有效数据的 SYN/ACK 包）

经过这个 HOOK 处理后，数据报进入 ip_queue_xmit2()（位于 net/ipv4/ip_output.c，Line281）

另外，在 ip_build_xmit_slow()（位于 net/ipv4/ip_output.c，Line429）和 ip_build_xmit()（位

于 net/ipv4/ip_output.c ， Line638 ）中用于进行错误检测；在 igmp_send_report() （位于

net/ipv4/igmp.c，Line195）的最后也经过了这个 HOOK，进行多播时相关的处理。

这样，IPTables 模块就可以利用这个 HOOK 对应的 OUTPUT 规则链表来对数据报进行规则匹配的筛选

了。

剩余31页未读，继续阅读

评论收藏

内容反馈

版权申诉

老帽爬新坡

粉丝: 83
资源: 2万+

netfilter源代码及规则存储分析.doc

Netfilter源代码分析详细讲解.docx

Netfilter源代码分析详解

Netfilter源代码分析详解.docx编程资料

netfilter-layer7-v2.23.tar.gz_V2

ja-netfilter-2022.2.0.zip

Linux内核中Netfilter_Iptables防火墙的技术分析.pdf

基于Netfilter内核态网络流量分析研究.pdf

netfilter-nf-conntrack-模块实现分析.doc编程资料

NetFilter SDK nfsdk-src-1.4.1.4 源码

netfilter-layer7-v2.22.tar.gz

netfilter-layer7-v2.21.tar

Netfilter机制的框架分析

ja-netfilter-all.zip

Linux内核防火墙Netfilter的原理及应用分析.pdf

基于Linux内核防火墙Netfilter的安全应用的设计方法.pdf

ja-netfilter-all_20220108_091511.zip

Linux_Netfilter_Iptables简介[定义].pdf

全国计算机等级考试二级Python真题及解析.docx

1000份ppt模版，PPT模板优秀PPT

matlab批量读取excel表格数据并处理画图

导入证书可以解决”无法建立到信任根颁发机构的证书链"问题。

OpenCv车辆识别训练模型

代码随想录知识星球精华-大厂面试八股文第二版v1.2.pdf

数学建模对乙醇偶合制备C4烯烃的问题研究

Vue-Element UI集成ECharts实现数据统计分析页代码部分(如果帮助到你，感谢关注点赞)

STM32F103C8T6中文数据手册

（头歌）计算机组成原理存储系统设计（HUST）1-7关答案

MATLAB深度学习入门实例（果树病虫害识别VGG19版）

（中文）半导体器件物理第三版课后习题答案，施敏著，

最新资源