Netfilter机制的框架分析_netfilter框架资源-CSDN下载

Netfilter，LInux防火墙

5星 · 超过95%的资源需积分: 50 5 浏览量 2010-12-16 15:04:37 上传评论收藏 99KB DOC 举报

资源推荐

资源详情

资源评论

Netfilter 基本架构

1、Netfilter 框架的基本概念

Netfilter 比以前任何一版 Linux 内核的防火墙子系统都要完善强大。

Netfilter 提供了一个抽象、通用化的框架，该框架既简洁又灵活，可实现安全

策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、透明代理、

动态网络地址转换(Network Address Translation，NAT)，以及基于用户及媒

体访问控制(Media Access Control，MAC)地址的过滤和基于状态的过滤、包

速率限制等。Netfilter 框架包含以下三部分：

1）Hook 函数；为每种网络协议(IPv4、IPv6 等)定义一套钩子函数（IPv4

定义了 5 个钩子函数)。这些钩子函数在数据报流过协议栈的几个关键点被调用。

在这几个点中，协议栈将把数据报及钩子函数标号作为参数调用 netfilter 框架。

2）注册；内核的任何模块可以对每种协议的一个或多个钩子进行注册，实

现挂接，这样当某个数据包被传递给 netfilter 框架时，内核能检测是否有任何模

块对该协议和钩子函数进行了注册。若注册了，则调用该模块的注册时使用的

回调函数，这样这些模块就有机会检查(可能还会修改)该数据包、丢弃该数据

包及指示 netfilter 将该数据包传入用户空间的队列。

3）用户空间队列；那些排队的数据包是被传递给用户空间的异步地进行处

理。一个用户进程能检查数据包，修改数据包，甚至可以重新将该数据包通过

离开内核的同一个钩子函数中注入到内核中。所有的包过滤/NAT 等等都基于该

框架。内核网络代码中不再有到处都是的、混乱的修改数据包的代码了。当前

netfilter 框架在 IPv4、IPv6 及 Decnet 网络栈中被实现。

2、Netfilter 的关键技术

netfilter 主要采用连线跟踪(Connection Tracking)、包过滤(Packet Filtering)、

地址转换、包处理(Packet Mangling)4 种关键技术。

1）连接跟踪；连线跟踪是包过滤、地址转换的基础，它作为一个独立的模

块运行。采用连线跟踪技术在协议栈低层截取数据包，将当前数据包及其状态

信息与历史数据包及其状态信息进行比较，从而得到当前数据包的控制信息，

根据这些信息决定对网络数据包的操作，达到保护网络的目的。当下层网络接

收到初始化连接同步(Synchronize，SYN)包，将被 netfilter 规则库检查。该数据

包将在规则链中依次序进行比较。如果该包应被丢弃，发送一个复位

本内容试读结束，登录后可阅读更多

下载后可阅读完整内容，剩余4页未读，立即下载

内容反馈

M_Skyrim

2012-06-25

很详细很清楚的呢~！

gkn2008

粉丝: 2

最新资源

资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！点击此处反馈

feedback-tip