linux对网络的监控操作学习--端口、流量、IP

最新推荐文章于 2025-07-07 12:57:39 发布

秋月霜风

最新推荐文章于 2025-07-07 12:57:39 发布

阅读量2.3k

点赞数 21

CC 4.0 BY-SA版权

文章标签：网络 linux 学习

本文链接：https://blog.csdn.net/weixin_40539956/article/details/137938104

linux对网络的监控操作学习–端口、流量、IP

在Linux中，使用NFQUEUE来处理iptables规则匹配的数据包需要与用户空间程序协作。NFQUEUE将数据包发送到一个用户空间的队列，然后由用户空间程序决定对这些数据包进行什么操作（比如接受、丢弃、修改等）。

理解Netfilter队列

Netfilter队列（nfqueue）是一种机制，允许iptables的数据包经过用户空间程序的处理后再决定是否接受、拒绝或修改这些数据包。这种机制提供了一种灵活的方式来对网络数据包进行深入分析和处理。

设置iptables规则以使用队列

首先，你需要设置iptables规则，将特定的流量定向到nfqueue队列。

例如，如果你想要对进入网卡eth0上的所有TCP流量进行处理，可以使用以下命令：

sudo iptables -A INPUT -i eth0 -p tcp -j NFQUEUE --queue-num 0

这条命令的意思是：将进入eth0接口、协议为TCP的所有数据包加入到编号为0的队列中。

sudo iptables -A FORWARD -j NFQUEUE --queue-num 666

这个命令将所有转发的数据包发送到编号为666的NFQUEUE。

使用用户空间程序处理队列中的数据包

linux用户空间

Linux系统中的用户空间程序指的是运行在用户空间的软件应用程序，与运行在内核空间的内核程序相对。用户空间和内核空间是操作系统内存中的两个主要区域，它们为操作系统的运行提供了隔离和保护机制。

用户空间（User Space）：用户空间是指非内核代码运行的内存区域，即普通的应用程序运行的地方。这些应用程序不能直接访问硬件设备，它们通过系统调用（System Calls）与内核空间通信，请求内核执行诸如读写文件、发送网络数据包、访问硬件设备等操作。用户空间提供了一个相对安全的环境，因为即使用户空间的程序崩溃，也不会直接影响到系统的稳定性。

内核空间（Kernel Space）：内核空间是操作系统内核运行的内存区域。内核是操作系统的核心部分，负责管理计算机的硬件资源，如处理器、内存和外设。内核空间的代码可以直接访问硬件设备，并执行CPU指令。由于具有这样的权限，内核空间的代码必须非常可靠，任何错误都可能导致整个系统崩溃。

用户空间程序的例子非常广泛，包括但不限于：

文本编辑器：如Vim、Emacs等。

Web浏览器：如Firefox、Chrome等。

办公软件：如LibreOffice、OpenOffice等。

开发工具：如GCC、Clang、Python解释器等。

图形界面：如GNOME、KDE等。

数据库：如MySQL、PostgreSQL等。

网络服务：如Apache HTTP服务器、Nginx等。

总之，用户空间程序包括几乎所有普通用户直接使用的软件应用程序，而这些程序通过与内核空间进行交互，来实现对硬件资源的访问和管理。

接下来，你需要有一个用户空间程序来处理这个队列中的数据包。这个程序可以使用libnetfilter_queue库来与nfqueue交互。

可以根据需要编写程序来分析、修改或决定是否接受这些数据包。

使用Python实现

一个简单的例子是使用Python编写的程序，该程序依赖于NetfilterQueue库来处理数据包：

#安装scapy以运行下列代码
pip install scapy

from netfilterqueue import NetfilterQueue
import scapy.all as scapy

def process_packet(packet):
    scapy_packet = scapy.IP(packet.get_payload())  # 将数据包转换为Scapy可处理的格式
    if scapy_packet.haslayer(scapy.TCP):
        if scapy_packet[scapy.TCP].dport == 80:
            if "特定模式" in str(scapy_packet[scapy.Raw].load):
                print("检测到特定模式，数据包被丢弃")
                packet.drop