如何用IP Queue机制编写用户态防火墙一(图)1

　　一般而言，防火墙都是嵌入在Linux内核协议栈的处理过程中，运行在内核地址空间。这就要求开发者深入理解和掌握内核，以及内核协议栈的代码。对于普通开发者来说，此要求显然过于苛刻。为此，Linux内核在Netfilter框架的基础上提供了IP Queue机制，使得基于用户态（User Mode）的防火墙开发成为可能。
　　
　　下面详细阐述IP Queue的原理及其编程接口。
　　
　　内核报文处理流程
　　
　　首先，大致了解一下内核处理数据报文的流程。正确理解这个流程，对于编写完善的防火墙非常有帮助。
　　
　　如图1所示，在内核的IP报文处理过程中，散布了一些HOOK点(图中椭圆形的节点)，在这些点上，可以挂载外部处理函数，进行定制的报文处理。
　　

　　图1 Linux内核报文处理流程简图
　　
　　数据报文从图1左边“接收”处进入内核协议栈，经过HOOK点PRE_ROUTIN

页码：[1] [2] [3] [4] [5] [6] 第1页、共6页

设为首页 | 加入收藏 | 广告服务 | 友情链接 | 版权申明