Netfilter框架 完全解析

＿
＿
＿
一
２ Ｎ ｔｌ ｒ 架位置 ｅｆ ｅ 框 ｉ ｔ
Ｌｎ ｘ． ｉｕ２ ６内核防火墙的底层结构是 Ｎ ｔｈｒ ｅ ｉ 结构 ， ｆｅ 位于 Ｌｎ ｘ网络 ｉｕ 层 层 防火墙内核功能模块之间，ｅ ｈ ｒ Ｌｎ ｘ内核 网络结构和 Ｎ ｔ ｅ在 ｉｕ ｉ ｆ 防火墙中的位置如图 ｌ 所示 。Ｌｎ ｘ￣系统 的防火墙是在 内核中实现 ｉｕ２ 的 ，但它对 Ｌｎ ｘ￣内核的网络结构性没有任何 的影响。它 内嵌于 Ｉ ｉｕ ２ Ｐ 中， 使用 Ｎ ｔｈ ｒ ｅ ｉｅ结构将防火墙对数据包的处理引入到协议栈 Ｉ ｆ Ｐ层中。 这样的结构使实现防火墙功能 的代码与实现 Ｉ Ｐ层功能的代码完全分 离， 这些代码在不 同的模块 中实现而不必相互牵连而发生耦合， 这些功 能分离的模块 ， 在结构上使 网络层和防火墙 内核模块相互分离 ， 在结构 上非常清晰 ， 防火墙代码修改和功能扩充更加方便容易 ， 用户可以根据 自己的应用需求而开发出 自己的防火墙代码 ， 从而扩展防火墙的功能。
摘
要： 公共 档案馆 脱胎于传统的综合档案馆 ， 强调 其公共性并不意味着标新 立异地全 盘否定档案馆 固有 的本 质属 性与基本职能 。
对 公 共 档 案馆 信 息 能 力 建设 进 行 了探 讨 。 关键 词 ： 公共档案馆 ； 息服务 ； 信 能力建设
完善档案信息服务体系 的发展需要 。必须 围绕构建社会主义 构建社会 主义 和谐社会 的伟 大实践 ， 要求各级政府部 门强化社 案馆 、 保障社会信息需求与信息公平的现实要求 ， 加大投入 ， 改 会管理 和公共服务职 能。 这是在新 的历史条件下各级政府 部门所 面 和谐社会 、 临的一项 战略任务 。 认真履行公共服务职能 ， 深化档案信息服务 ， 进公 共档案馆管理机制 、 对 改善档 案信 息服务设施条件 、 完善档 案信 于全 面贯彻科学发展观 ， 加快 档案馆由“ 国家模式 ” 社会模式” 向“ 的 息 服务 体系 ，使公共档案 馆尽快地真正 了解社会各 方面 的信 息需 转变进程 ， 建设公共档案馆 、 提高公共 档案馆的信息服务能力 、 为建 求 。 尽可能多地建立服务窗 口， 利用一切有效方式 ， 面向社会公众开 设 和谐社会提供档案信息服务支撑具有重要意义。 展更加集 中、 范、 规 系统 、 、 的档 案信 息服务 ， 权威 有效 充分发挥公共 公共 档案馆肩 负着 为党 和政府 的决策服务 、 为社会经济发 展服 档案馆对社会协调发展的积极促进作用 。 务、 为社会公众服务 的多重职能 ， 具有得 天独厚的档案信 息服务优 ３创新公共档案馆信息服务管理与信息服务方式 ，在服务 中实 势。 而 ， 然 受传统档案馆管理与服务模式 的影 响， 公共档案馆的信息 施 管理 、 在管理 中体现服务 。 这是公 共档案馆建设的关键环节 服务工作 受制 因素较 多， 这种现实状况决定 了公共档案馆建设 必须 建设公共 档案 馆要 以提 高档 案信 息服务效益和质量为 中心 ， 适 紧紧围绕 构建 和谐社会 的伟大实践这一时代主题开展 ： 应社 会公众 的信息需求 ， 断丰富档案信息资源 ， 不 拓宽收集档 案资 １以促进社会发展和解 决民生问题为重点 ， 逐步形成 惠及 全民 源 的渠道 ， 夯实参 与社会管理与开展档案信 息服务 的基础。 为此 ， 公 的档案信 息服务体 系 。 这是公共档案馆建设 的基本任务 共 档案馆不仅要注意优化 以管理公共事务 为职 能的 国家机关 宏观 公共 档案 馆履行 职能的基本要求 在于其 公共性 、 普惠性 和社会 层 面的国家档案资源 ， 更要关注与社会公众生活息息相关的微观层 公平 。 公共档案馆 开展信 息服务 的量多面广 ， 是构建和谐社会 、 促进 面的社会档案资源。通过丰富与整合各类相关 的档案 资源 ， 完善公 经济社会 发展 、 解决 民生问题 等不 可或 缺的内容和手段 。 因此 ， 在公 共档案馆档案信息服务决 策机 制、 创新公共档案馆档案信息服务管 共档 案馆 建设 过程 中 ， 要适应时代发展需要 ， 改变 自我封闭 、 过分强 理 与档案信息服务方式 ， 力求 以最低 廉的“ 成本 ” 向社会公众 提供 ， 调 政治性与保 密性 、 忽视社会公众档 案信息需求 的思 维定式 ， 奉行 更多优质高效 、 方便快捷 的档案信息服务 ， 实现在服务 中实施管理 、 以人为本 、 贴近社会 公众需求 的公共 服务理念 ， 关注社会 发展 和解 在管理 中体现服务的 目标 。 决 民生 问题 ， 通过 网络化 、 息化和数字化平 台 ， 展以人性化 、 信 开 个 参考文献 性 化为主要特 征的档案信息服 务 ， 步形 成具有公共 性 、 逐 普惠性 和 ［］刘金 树 ．关于公 共 档案馆 服 务方 向的思 考 ｆ．中 国档案 报， １ １ Ｊ 】 ２０ ７， ， ． ０ １１ １ 社会公平特点 的公共档案馆信息服务体系 。 ２加强和 改进公共 档案馆 的管理机 制 。完善档 案信息 服务体 ［】张锐 ．构建和谐社 会视野 下的档案信 息服 务 『．档案 学研 究， ２ Ｊ １ ２ ０ ，． ０ ５６ 系， 促进社会协调发展 。 这是公共档案馆建设的重要 目标 公共 档案馆脱胎 于传 统档案馆 ， 面临着管 理设施简 陋 、 工作环 ［ ￣爱萍． ３， ｌ、 ｌ 非国有档案信息资源管理研 究ｆ． Ｊ档案学通讯， ０， ］ ２ ５１ ０ ． 境窘 迫 、 服务手段落后 等诸多困难 ， 已不能很 好地适应建设 公共档 【］－ ｃ 公民利 用档案 的权利研究『． ４． ｉ娇． ￣ｑ － Ｊ档案学通讯，０ ６３ ］ ２ ０ ，．

本文由我司收集整编，推荐下载，如有疑问，请与我司联系Linux netfilter 学习笔记之三ip层netfilter的table、rule、match、
target结构分析
2014/06/22 4306
 上一节分析了ip层hook回调函数的注册以及调用流程，本节我们就开始分析每一个模块的具体实现。

工欲善其事必先利其器，一个功能模块的代码实现与其数据结构的设计有很大的关系，因此我们本节主要是分析table、rule、match、target相关的数据结构，争取本节能把数据结构的定义以及数据结构之间的关系分析明了。

 
1. table、rule、match、target等相关数据结构分析在分析table、rule、match、target之前，先把它们之间的联系图贴出来，看了这个图以后，我们基本上就知道xt_table里rule、match、target之间的关联了。

 总体框架图
 对于一个xt_table表，通过其private指针，指向了xt_table_info结构，而xt_table_info中的entries指针数组的每一个指针成员指向xt_table表在相应cpu中的rule的首地址。

 一个表中的所有rule在一个连续的内存块中，让所有rule在一个连续的内存块中，使对rule规则的遍历寻址成为了可能，因为一个规则相对于下一个规则并没有使用链表的形式连接在一起。

 而一个完整的rule规则，包括了ipt_entry、ipt_entry_match、ipt_standard_target 组成（其实ipt_entry就代表了一个规则，通过ipt_entry- elems即可找到该规则对应的match）。

 下面我们一一分析上图提到的数据结构。

Netfilter框架的设计与实现1.什么是NetfilerLinux 从2.4.X 开始，引入了Netfilter，代替了原来的ipchain，什么是Netfilter 呢？有人将它称为“Linux下一个优秀的防火墙工具”，这样讲，有一定的道理，但是却是很片面的。

Netfilter 更准确地讲是Linux 内核中，一个包过滤框架，默认地，它在这个框架上实现了包过滤、状态检测、网络地址转换和包标记等多种功能，因为它设计的开放性，任何有内核开发经验的开发人员，也可以很容易地利用它提供接口，在内核的数据链路层、网络层，实现自己的功能模块。

Netfilter的用户空间管理工具，是著名的iptables 工具套件。

Netfilter框架之所以能实现许多强大的功能，是因为它在内核若干网络转发的关键函数，设计了许多巧妙的钩子函数，比如数据转发，由两个主要函数A 和B函数实现，流程为A->B ，现在改变为A->钩子函数->B，就这么简单，在本章里，就让我们来看看Netfilter 框架的设计与实现。

2.从NF_HOOK 谈起在整个Netfilter中，NF_HOOK宏占有重要的作用，它定义在Netfilter.h中：CODE:/* This is gross, but inline doesn't cut it for avoiding the functioncall in fast path: gcc doesn't inline (needs value tracking?). --RR */#ifdef CONFIG_NETFILTER_DEBUG#define NF_HOOK(pf, hook, skb, indev, outdev, okfn) \ ({int __ret; \if ((__ret=nf_hook_slow(pf, hook, &(skb), indev, outdev, okfn, INT_MIN)) == 1) \__ret = (okfn)(skb); \__ret;})#define NF_HOOK_THRESH(pf, hook, skb, indev, outdev, okfn, thresh) \ ({int __ret; \if ((__ret=nf_hook_slow(pf, hook, &(skb), indev, outdev, okfn, thresh)) == 1) \__ret = (okfn)(skb); \__ret;})#else#define NF_HOOK(pf, hook, skb, indev, outdev, okfn) \ ({int __ret; \if (list_empty(&nf_hooks[pf][hook]) || \ (__ret=nf_hook_slow(pf, hook, &(skb), indev, outdev, okfn, INT_MIN)) == 1) \__ret = (okfn)(skb); \__ret;})#define NF_HOOK_THRESH(pf, hook, skb, indev, outdev, okfn, thresh) \ ({int __ret; \if (list_empty(&nf_hooks[pf][hook]) || \ (__ret=nf_hook_slow(pf, hook, &(skb), indev, outdev, okfn, thresh)) == 1) \__ret = (okfn)(skb); \__ret;})#endif一开始就摆出这么长一个宏出来，这个宏稍长了一点，缩短来看：CODE:#ifdef CONFIG_NETFILTER_DEBUG……#else……#endif我们暂且忽略用于调试作用的语句，把#else中NF_HOOK的定义提取出来：CODE:#define NF_HOOK(pf, hook, skb, indev, outdev,okfn) \({int __ret; \if (list_empty(&nf_hooks[pf][hook]) || \ (__ret=nf_hook_slow(pf, hook, &(skb), indev, outdev, okfn, INT_MIN)) == 1) \__ret = (okfn)(skb); \__ret;})首先来看这个宏里边的二维数组nf_hooks[pf][hook] ，其中pf对应协议簇，hook对应了某个hook点，比如ipv4 协议簇(PF_INET)下有一个钩子NF_IP_PRE_ROUTING(路由查找之前)，那么这个Hook点对应的这个二维数组中的元素就是nf_hooks[PF_INET][ NF_IP_PRE_ROUTING]。

NGFW—ACL精确控制一、netfilter架构1.NGFW的底层架构是netfilter架构，而netfilter架构就是在整个网络流程的若干位置放置了一些检测点（HOOK），而在每个检测点上登记了一些处理函数进行处理（如包过滤，NAT 等，甚至可以是用户自定义的功能）。

IP层的五个HOOK点的位置如下图所示[1]:NF_IP_PRE_ROUTING：刚刚进入网络层的数据包通过此点；[2]:NF_IP_LOCAL_IN：经路由查找后，送往本机的通过此检查点；[3]:NF_IP_FORWARD：要转发的包通过此检测点；[4]:NF_IP_POST_ROUTING：所有马上要通过网络设备出去的包通过此检测点；[5]:NF_IP_LOCAL_OUT：本机进程发出的包通过此检测点；2.每个HOOK点(A、B、C、D、E)上罗列了可以调用的策略，并且已按优先级进行排列（越靠前的优先级越高）；需求：防火墙犹如放置在边界的一堵墙，作用是保护内网，隔离外网。

防火墙中内置了很多的关卡，比如：NAT、路由、ACL、流控等策略，数据包进入防火墙后就会经过这些关卡，只要任何一道关卡出现问题，数据包就无法再继续转发；为了发挥防火墙的最大功效,对每道关卡都要精确配置;要实现安全策略（ACL）的细化控制，就必须要知道需要ACL控制的流量在经过ACL控制点的时候源地址，目的地址，甚至端口分别是什么，而影响数据流量的主要要素是NAT策略、VPN策略，下面分析VPN策略和NAT策略对数据的影响以及ACL的配置。

一、IPSEC数据NGFW处理（IPSEC处理）1.分支VPN数据包处理：数据包进入—HOOKA—HOOKC（路由查找、ACL过滤）---HOOKE(VPN封装)注意点：（1）放通的流量也是私网到私网（2）做分支IPSEC策略时，进行NAT排除，放通流量是私网到私网2.总部vpn数据包处理：数据包进入—HOOKA(判断)—HOOKB（解密）---HOOKA---HOOKC（路由、ACL）---HOOKE注意点: (1)放通的流量应该是私网到私网的流量（2）做IPSEC策略时，进行NAT排除，放通流量是私网到私网二、SSL（客户端）数据NGFW处理（SSL处理）总部SSL数据包处理：数据包进入—HOOKA(判断)—HOOKB（解密）---HOOKA---HOOKC（路由、ACL）---HOOKE（SNAT）注意点:（1）在做总部ACL时放通的流量应该是下发地址到服务器资源的流量（2）下发地址如果是内网不存在的地址，就要进行地址伪装，地址伪装实质就是进行了SNAT，将下发的地址转换成内网接口的地址三、非VPN数据，NGFW执行转发动作（内网数据访问互联网）1.数据包由总部内网发出（SNAT）：数据包进入—HOOKA—HOOKC（路由查找、ACL过滤）---HOOKE(SNAT)注意点：放通流量是私网到公网的流量，回来的流量不需要放通，因为防火墙有记录会话的功能2.数据包主动从外网发起（DNAT）收到数据包时:数据包回来流量/外网主动发起：—HOOKA（DNAT）—HOOKC（路由查找、ACL 过滤）---HOOKE注意点：放通流量是放通外网对内网的流量，内网放回的流量不需要放通，因为防火墙有记录会话的功能四、内部用户用公网IP访问内部服务器（双向NAT）数据包进入到设备：—HOOKA（DNAT）—HOOKC（路由查找、ACL过滤）---HOOKE （SNAT）注意点：放通流量是放通私网对私网的流量五、非VPN数据，就是交给NGFW设备数据包进入—HOOKA—HOOKB注意点：并没有经过NGFW的ACL过滤，所以无需放通流量六、非VPN数据，从本设备发出数据包发出—HOOKD—HOOKE注意点：并没有经过NGFW的ACL过滤，所以无需放通流量。