Netfilter提供了一個抽象、通用化的架構,該架構定義的一個子功能的實現就是包過濾子系統。Netfilter架構套件含以下五部分:
1. 為每種網路通訊協定(IPv4、IPv6等)定義一套鉤子函數(IPv4定義了5個鉤子函數), 這些鉤子函數在資料報流過協議棧的幾個關鍵點被調用。在這幾個點中,協議棧將把資料報及鉤子函數標號作為參數調用netfilter架構。
2. 核心的任何模組可以對每種協議的一個或多個鉤子進行註冊,實現掛接,這樣當某個資料包被傳遞給netfilter架構時,核心能檢測是否有任何模組對該協議和鉤子函數進行了註冊。若註冊了,則調用該模組的註冊時使用的回呼函數,這樣這些模組就有機會檢查(可能還會修改)該資料包、丟棄該資料包及指示netfilter將該資料包傳入使用者空間的隊列。
3 .那些排隊的資料包是被傳遞給使用者空間的非同步地進行處理。一個使用者進程能檢查資料包,修改資料包,甚至可以重新將該資料包通過離開核心的同一個鉤子函數中注入到核心中。
4. 任何在ip層要被拋棄的ip資料包在真正拋棄之前都要進行檢查。例如允許模組檢查ip-spoofed包(被路由拋棄)。
5.IP層的五個HOOK點的位置如下所示 :
1. NF_IP_PRE_ROUTING:剛剛進入網路層的資料包通過此點(剛剛進行完版本號碼,校正 和等檢測), 源地址轉換在此點進行;ip_input.c中IP_rcv調用。
2. NF_IP_LOCAL_IN:經路由尋找後,送往原生通過此檢查點,INPUT包過濾在此點進行;ip_local_deliver中調用
3. NF_IP_FORWARD:要轉寄的包通過此檢測點,FORWORD包過濾在此點進行;
4. NF_IP_POST_ROUTING:所有馬上便要通過網路裝置出去的包通過此檢測點,內建的目的地址轉換功能(包括地址偽裝)在此點進行;
5. NF_IP_LOCAL_OUT:本機進程發出的包通過此檢測點,OUTPUT包過濾在此點進行。
這些點是已經在核心中定義好的,核心模組能夠註冊在這些HOOK點進行的處理,可使用nf_register_hook函數指定。在資料報經過這些鉤子函數時被調用,從而模組可以修改這些資料報,並向netfilter返回如下值:
NF_ACCEPT 繼續正常傳輸資料報
NF_DROP 丟棄該資料報,不再傳輸
NF_STOLEN 模組接管該資料報,不要繼續傳輸該資料報
NF_QUEUE 對該資料報進行排隊(通常用於將資料報給使用者空間的進程進行處理)
NF_REPEAT 再次調用該鉤子函數
一個基於Netfilter架構的、稱為iptables的資料報選擇系統在Linux2.4核心中被應用,其實它就是ipchains的後繼工具,但卻有更強的可擴充性。核心模組可以註冊一個新的規則表(table),並要求資料報流經指定的規則表。這種資料報選擇用於實現資料報過濾(filter表),網路位址轉譯(Nat表)及資料報處理(mangle表)。 Linux2.4核心提供的這三種資料報處理功能都基於netfilter的鉤子函數和IP表。它們是獨立的模組,相互之間是獨立的。它們都完美的整合到由Netfileter提供的架構中。
包過濾
filter表格不會對資料報進行修改,而只對資料報進行過濾。iptables優於ipchains的一個方面就是它更為小巧和快速。它是通過鉤子函數NF_IP_LOCAL_IN, NF_IP_FORWARD及NF_IP_LOCAL_OUT接入netfilter架構的。因此對於任何一個數 據報只有一個地方對其進行過濾。這相對ipchains來說是一個巨大的改進,因為在ipchains中一個被轉寄的資料報會遍曆三條鏈。
NAT
NAT表格監聽三個Netfilter鉤子函數:NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING及NF_IP_LOCAL_OUT。 NF_IP_PRE_ROUTING實現對需要轉寄的資料報的源地址進行地址轉換而NF_IP_POST_ROUTING則對需要轉寄的資料包的目的地址進行地址轉換。對於本機資料報的目的地址的轉換則由NF_IP_LOCAL_OUT來實現。NAT表格不同於filter表格,因為只有新串連的第一個資料報將遍曆表格,而隨後的資料報將根據第一個資料報的結果進行同樣的轉換處理。NAT表格被用在源NAT,目的NAT,偽裝(其是源NAT的一個特例)及透明代理(其是目的NAT的一個特例)。
資料報處理(Packet mangling)
mangle表格在NF_IP_PRE_ROUTING和NF_IP_LOCAL_OUT鉤子中進行註冊。使用 mangle表,可以實現對資料報的修改或給資料報附上一些帶外資料。當前mangle表支援修改TOS位及設定skb的nfmard欄位。
源碼分析
如果我們想加入自己的代碼,便要用nf_register_hook函數,其函數原型為:
int nf_register_hook(struct nf_hook_ops *reg)
struct nf_hook_ops
{
struct list_head list;
/* User fills in from here down. */
nf_hookfn *hook;
int pf;
int hooknum;
/* Hooks are ordered in ascending priority. */
int priority;
};
我們的工作便是產生一個struct nf_hook_ops結構的執行個體,並用nf_register_hook將其HOOK上。其中list項我們總要初始化為{NULL,NULL};由於一般在IP層工作,pf總是PF_INET;hooknum就是我們選擇的HOOK點;一個HOOK點可能掛多個處理函數,誰先誰後,便要看優先順序,即priority的指定了。netfilter_ipv4.h中用一個枚舉類型指定了內建的處理函數的優先順序:
enum nf_ip_hook_priorities {
NF_IP_PRI_FIRST = INT_MIN,
NF_IP_PRI_CONNTRACK = -200,
NF_IP_PRI_MANGLE = -150,
NF_IP_PRI_NAT_DST = -100,
NF_IP_PRI_FILTER = 0,
NF_IP_PRI_NAT_SRC = 100,
NF_IP_PRI_LAST = INT_MAX,
};
hook是提供的處理函數,也就是我們的主要工作,其原型為:
unsigned int nf_hookfn(unsigned int hooknum,
struct sk_buff **skb,
const struct net_device *in,
const struct net_device *out,
int (*okfn)(struct sk_buff *));
它的五個參數將由NFHOOK宏傳進去。
nf_register_hook根據reg中註冊的協議簇類型和優先順序在nf_hooks中找到相應的位置並插入到此表中。struct list_head nf_hooks[NPROTO][NF_MAX_HOOKS]在netfilter初始化時(netfilter_init/netfilter.c,而它在sock_init時調用)已經初始為一個空表。
例如iptable在初始化時(init/iptable_filter.c)調用nf_register_hook註冊他的hook函數。
static struct nf_hook_ops ipt_ops[]
= { { { NULL, NULL }, ipt_hook, PF_INET, NF_IP_LOCAL_IN, NF_IP_PRI_FILTER },
{ { NULL, NULL }, ipt_hook, PF_INET, NF_IP_FORWARD, NF_IP_PRI_FILTER },
{ { NULL, NULL }, ipt_local_out_hook, PF_INET, NF_IP_LOCAL_OUT,
NF_IP_PRI_FILTER }
};
mangle在init/iptable_mangle.c中註冊它自己的hook函數。
static struct nf_hook_ops ipt_ops[]
= { { { NULL, NULL }, ipt_hook, PF_INET, NF_IP_PRE_ROUTING, NF_IP_PRI_MANGLE },
{ { NULL, NULL }, ipt_local_out_hook, PF_INET, NF_IP_LOCAL_OUT,
NF_IP_PRI_MANGLE }
};
NAT在init/ip_nat_standalone.c中註冊它自己的hook函數
/*包過濾前,更改目的地址*/
static struct nf_hook_ops ip_nat_in_ops