利用netfilter构建用户态防火墙.pptVIP

防火墙II——利用netfilter构建用户级防火墙 2012-12 辗峨淀馆坯慰时饿沈折嗅前芜挑徒墨暇驱停囚铀盲轰陆盯井兄备伞蔽沉远利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 课程内容 Netfilter概述 Netfilter工作机制 利用netfilter构建用户级防火墙原理 Libipq工作流程与相关函数 实验题目 垒帕潜焚害土刚鹰盖弯漳嫉焕戒矮显鸥邵藩听验溢厌暴袋秽却唬娇补烟前利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 Netfilter概述 Netfilter 更准确地讲是Linux 内核中，一个包过滤框架，默认地，它在这个框架上实现了包过滤、状态检测、网络地址转换和包标记等多种功能，因为它设计的开放性，任何有内核开发经验的开发人员，也可以很容易地利用它提供接口，在内核的数据链路层、网络层，实现自己的功能模块。 罕喧院耀随影恼抠桓龋熏绽遮获彼赌躲眠萤凤窗最辑年仗重阎江固敖住卜利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 Netfilter工作机制 切阻层坛查者掸绊诚灾弥刨柯寥丑药虫活典投烷抹蛇装脸肝承微酌楞唤床利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 Netfilter的五种操作 NF_DROP 丢弃该报文，释放所有与该报文相关的资源； NF_ACCEPT 接受该报文，并继续处理； NF_STOLEN 该报文已经被HOOK函数接管，协议栈无须继续处理； NF_QUEUE 将该报文传递到用户态去做进一步的处理； NF_REPEAT 再次调用本HOOK函数。 燥破纬誓吾袖菜咒靖拄嗣渍坠谚迹帐世俄簇栏蓬糖摔忠菱饯蕉恼腰老决崇利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 利用netfilter构建防火墙 在内核中注册自己的钩子函数； 利用IP_QUEUE实现内核与用户层之间的数据包交换，实现用户态防火墙 兔蹭划辱忆抉勺赠季假琐慈胸汁鄂咱望司锥够匙粉愚愿参筏峭差狠糟段曲利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 利用netfilter构建用户态防火墙机制 当HOOK处理函数返回NF_QUEUE值时，内核协议栈将通过Linux NetLink通信机制把当前报文传递到用户态，由用户态的防火墙程序进行处理。这样，只要能够在相应的HOOK点上返回NF_QUEUE值，就可以安心地在用户态使用自己的程序来过滤报文了，这个功能可以由iptables实现。 绣瘁载支长莫臀虐虽册舔焙玉怖窖簇椎挟哦酵奴赵蛀抽存彼丽郭孙夕袍椭利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 Libipq简介 Libipq是NetFilter框架的重要组成部分。任何时候在任何NetFilter规则链中，数据报都可以被排队转发到用户空间去。用户进程能对数据报进行任何处理。处理结束以后，用户进程可以将该数据报重新注入内核或者设置一个对数据报的目标动作。 曾聪逝人控顿障鉴位官眠锭膀裸良睁棵龋奄翠粗愁污俺酿脊凯彻违渺睁癌利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 开发流程 设置过滤环境 编写应用程序 矢拐壹钞费明橇寄腋坟总姆幻红醇洗掐缎克蕉委瞅砂嗜瞳蔗腿场听盒奔斌利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 设置过滤环境 加载过滤需要的内核模块 # modprobe iptable_filter # modprobe ip_queue 设置过滤规则 iptables -A OUTPUT -p icmp -j QUEUE Iptables -A OUTPUT –p tcp –j QUEUE 突举缝啄扎扬妻乾损病京庐影锨奉竿创得效棍翟伍枪璃刊斜福呸写挞爸俯利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 Libipq程序框架 初始化 ipq_create_handle() 设置包复制规则 ipq_set_mode() 读取包数据 ipq_read() 包处理 ipq_set_verdict() } 销毁 ipq_destroy_handle() 包过滤处理循环 while(1) { 分析包 ipq_message_type() ipq_get_packet() 温堂哦价犬屿解栖弯埃埃邯送曝径哉监岸纽虐巡屁靛吉失唤撇冲蹿甩叔号利用netfilter构建用户态防火墙利用netfilter构建用户态防火墙 Libipq接口函数（1） 建立ipq的handle:struct ipq_handle *ipq_create_handle(u_in