ssl層次的vpn的實現根本

ssl層次實現的vpn一直不為我這種人看好，因為我一旦遇到問題總喜歡在核心層次尋找原因，而ssl在展示層起作用，而展示層一般不是作業系統的實現的部分。我的問題是，你用什麼辦法來攔截所有的應用程式層的訪問，畢竟你是在使用者空間，你如何做到一個直接指向www.baidu.com的訪問被你的所謂的ssl-vpn攔截到，這個工作在windows上實際很簡單，windows上有spi，也就是socket provider interfere，開發人員完全可以替換掉系統的spi，但是在linux上怎麼攔截使用者的隨意的訪問呢，答案就是利用run/tap裝置，這是linux在很早的實現中就實現的一個驅動，它在實現一個網卡裝置的同時的也實現了一個字元裝置驅動，於是通過路由可以將訪問定位於虛擬網卡，然後應用程式通過虛擬設備將之讀出，然後更改後寫入真實網卡，這裡虛擬網卡僅僅作為一個虛擬物理裝置存在。linux通過核心驅動可以攔截所有訪問，但是它卻沒有使用任何hack方式，在得到授權的情況下，虛擬網卡得到鏈路層資料之後不是將資料發送給真實的物理裝置，而是發給一個緩衝區，該緩衝區被應用程式也就是安全網關讀取，然後執行安全性原則，實際上真實資料經過了一個使用者空間到核心再到使用者空間的過程。