防火墙软件架构及数据包的处理流程

1、防火墙软件架构及数据包的处理流程第1页 共18页要点pLinux Netfilter/iptables概述pLinux Netfilter/iptables实现框架p防火墙数据包处理流程第2页 共18页Linux Netfilter/iptables概述第3页 共18页Linux Netfilter和iptables概述pNetfilter is a set of hooks inside the Linux kernel that allows kernel modules to register callback functions with the network stack. A re

2、gistered callback function is then called back for every packet that traverses the respective hook within the network stack.pIptables is a generic table structure for the definition of rulesets. Each rule within an IP table consists of a number of classifiers (iptables matches) and one connected act

3、ion (iptables target).第4页 共18页Linux Netfilter和iptables概述第5页 共18页Linux Netfilter实现框架第6页 共18页pNetfilter/Iptables-IPv4总体架构 Netfilter主要通过表、链实现规则，可以这么说，Netfilter是表的容器，表是链的容器，链是规则的容器，最终形成对数据报处理规则的实现。pNetfilter/Iptables的体系结构可以分为三个大部分：Netfilter的Hook机制 Iptables基础模块 具体功能模块 数据报过滤模块（Filter）连接跟踪模块（Conntrack）网络地址

4、转换模块（NAT）数据报修改模块（Mangle）其它高级功能模块第7页 共18页Linux Netfilter实现框架pNetfilter/Iptables-IPv4总体架构第8页 共18页Linux Netfilter实现框架Linux Netfilter实现框架pNetfilter的Hook机制 Netfilter在网络协议栈中定义了5个hook点，如下：NF_IP_PRE_ROUTINGNF_IP_LOCAL_IN NF_IP_FORWARD NF_IP_LOCAL_OUTNF_IP_POST_ROUTING第9页 共18页Linux Netfilter实现框架pNetfilter的Hook机制第10页 共18页Linux Netfilter实现框架p连接跟踪模块（Conntrack） 数据包在用户空间的状态只有4种状态：New，Established，Related和Invalid第11页 共18页数据包处理流程第12页 共18页数据包处理流程p以防火墙为源的数据包第13页 共18页数据包处理流程p以防