防火墙软件架构及数据包的处理流程.ppt

防火墙软件架构及数据包的处理流程,第1页 共18页,要点,Linux Netfilter/iptables概述 Linux Netfilter/iptables实现框架 防火墙数据包处理流程,第2页 共18页,Linux Netfilter/iptables概述,第3页 共18页,Linux Netfilter和iptables概述,Netfilter is a set of hooks inside the Linux kernel that allows kernel modules to register callback functions with the network stack. A registered callback function is then called back for every packet that traverses the respective hook within the network stack. Iptables is a generic table structure for the definition of rulesets. Each rule within an IP table consists of a number of classifiers (iptables matches) and one connected action (iptables target).,第4页 共18页,Linux Netfilter和iptables概述,第5页 共18页,Linux Netfilter实现框架,第6页 共18页,Netfilter/Iptables-IPv4总体架构 Netfilter主要通过表、链实现规则，可以这么说，Netfilter是表的容器，表是链的容器，链是规则的容器，最终形成对数据报处理规则的实现。 Netfilter/Iptables的体系结构可以分为三个大部分： Netfilter的Hook机制 Iptables基础模块 具体功能模块 数据报过滤模块（Filter） 连接跟踪模块（Conntrack） 网络地址转换模块（NAT） 数据报修改模块（Mangle） 其它高级功能模块,第7页 共18页,Linux Netfilter实现框架,Netfilter/Iptables-IPv4总体架构,第8页 共18页,Linux Netfilter实现框架,Linux Netfilter实现框架,Netfilter的Hook机制 Netfilter在网络协议栈中定义了5个hook点，如下： NF_IP_PRE_ROUTING NF_IP_LOCAL_IN NF_IP_FORWARD NF_IP_LOCAL_OUT NF_IP_POST_ROUTING,第9页 共18页,Linux Netfilter实现框架,Netfilter的Hook机制,第10页 共18页,Linux Netfilter实现框架,连接跟踪模块（Conntrack） 数据包在用户空间的状态只有4种状态：New，Established，Related和Invalid,第11页 共18页,数据包处理流程,第12页 共18页,数据包处理流程,以防火墙为源的数据包,第13页 共18页,数据包处理流程,以防火墙为目