Netfilter源代码分析详细讲解.docx

一、概述

1. Netlter/IPTables 框架简介

 是继  的 、 的  之后，

新一代的  防火墙机制。 采用模块化设计，具有良好的可扩大性。

其重要工具模块  连接到  的架构中，并允许使用者对数据报

进展过滤、地址转换、处理等操作。

 提供了一个框架，将对网络代码的直接干预降到最低，并允许

用规定的接口将其他包处理代码以模块的形式添加到核中，具有极强的灵活性。

头文件：$"!

$"!#

 ! 协议栈主体的局部  文件，特别是与数据报传送过程有关的局部：

1 / 63

"$"，"$ ，"$ "，"$%

等



二、Netlter/IPTables-IPv4 总体

架构

 主要通过表、链实现规那么，可以这么说， 是表的容

 框架。

对于它在网络堆栈中增加的这些 &''(，核的任何模块可以对每种协议

的一个或多个 &''( 进展注册，实现挂接。这样当某个数据报被传递给

 框架时，核能检测到是否有任何模块对该协议和 &''( 函数进展了

注册。假设注册了，那么调用该模块的注册时使用的回调函数，这样这些模块

2 / 63

就有机会检查、修改、丢弃该数据报与指示  将该数据报传入用户空间

的队列。

这样，&''( 提供了一种方便的机制：在数据报通过  核的不同位置上

截获和操作处理数据报。

2. IPTables 根底模块

 根底模块实现了三个表来筛选各种数据报，具体地讲，

 核提供的这三种数据报的处理功能是相互间独立的模块，都基于

 数据报修改模块〔%〕

- 其它高级功能模块

于是， 总体架构如图  %"  

./0$1"% 所示

3 / 63

三、HOOK 的实现

1. Netlter-IPv4 中的 HOOK

 模块需要使用 &''( 来启用函数的动态钩接，它在 ! 中定

义了五个 &''(〔位于文件 $"!，+/〕，分

别对应 2 的  *

简单地说，数据报经过各个 &''( 的流程如下：

数据报从进入系统，进展  校验以后，首先经过第一个 &''( 函数

3$$45$4'67 进展处理；然后就进入路由代码，其决定该数据报是需

要转发还是发给本机的；假设该数据报是发被本机的，那么该数据经过 &''(

函数 3$$'),$ 处理以后然后传递给上层协议；假设该数据报应该被转

发那么它被 3$$3'48,49 处理；经过转发的数据报经过最后一个 &''(

总之，这五个 &''( 所组成的 2! 数据报筛选体系如图

 %"  ./0$1"%

4 / 63

 NF_IP_PRE_ROUTING (0)

数据报在进入路由代码被处理之前，数据报在  数据报接收函数 "$!;<

〔位于 "!"$"，+=/〕的最后，也就是在传入的数据报被处

理之前经过这个 &''(。在 "$!;<中挂接这个 &''( 之前，进展的是一些与

类型、长度、版本有关的检查。

经过这个 &''( 处理之后，数据报进入 "$!$;<〔位

于 "!"$"，+0〕，进展查路由表的工作，并判断该数据报

是发给本地机器还是进展转发。

在这个 &''( 上主要是对数据报作报头检测处理，以捕获异常情况。

涉与功能〔优先级顺序〕：) *;2<、%;2-<、9,;2

<

目的地为本地主机的数据报在  数据报本地投递函数 "$ $!;<

"!"$"，/〕

5 / 63