Linux Netfilter框架之conntrack连接跟踪机制

最新推荐文章于 2024-06-29 06:45:46 发布
最新推荐文章于 2024-06-29 06:45:46 发布
阅读量1.7k 收藏 4
点赞数 1
分类专栏： Linux SRE 运维部署与监控 系统性能指标 故障排除 文章标签： 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_35029061/article/details/125907874
版权
本文详细介绍了Linux Netfilter框架中的conntrack连接跟踪机制，conntrack用于跟踪网络连接，允许内核关联可能构成连接的所有数据包。内容涵盖了conntrack的功能、状态、常用命令以及内核参数配置，旨在帮助读者理解连接跟踪在Linux网络安全中的重要作用和实际应用。
摘要由CSDN通过智能技术生成

一、Linux的Netfilter框架

对于不经常接触Linux内核的应用层开发者来说，可能对Netfilter了解的比较少。但大多数Linux用户多少都用过或知道iptables，然而，iptables的功能实现就是在Netfilter之上完成的。

Netfilter框架由著名的Linux开发人员Rusty Russell于1998年开发，旨在改进以前实现ipchains（Linux2.2.x）和ipfwadm（Linux2.0.x）。

Netfilter是 Linux 内核中的一个框架，它为以定制处理器形式实施的各种网络相关操作提供了灵活性。Netfilter提供数据包过滤、网络地址翻译和端口翻译的各种选项。

Netfilter其详细构成：

Linux的Netfilter框架提供了如下功能：

    了解本专栏 订阅专栏 解锁全文 超级会员免费看
    wespten
    关注
    专栏目录
    订阅专栏
    Linux Kernel TCP/IP Stack — L3 Layer — netfilter 框架 — conntrack（CT，连接跟踪）
    烟云的计算
    07-17 4969
    目录 文章目录目录CT CT CT（conntrack，connection tracking，连接跟踪），顾名思义，就是跟踪（并记录）连接的状态，是许多网络应用的基础。例如：iptables、LVS/IPVS、OvS、Docker Network、Kubernetes Service、ServiceMesh Sidecar 等。 需要注意的是，CT 中的 connection，与 TCP 的 connection 并不完全相同。CT 中，一个 IP 5-tuple 定义的一条 Flow 就表示一条 Con
    linux conntrack 原理,十五、Netfilter中conntrack的建立过程
    weixin_33467061的博客
    05-14 877
    我们先来看一下iptables定义的连接状态：INVALID:无效连接，防火墙一般会丢弃该连接NEW：新建立的，既只是通信双方中只一方发送了报文，还没有得到回应的ESTABLISHED：已经得到回应的连接。既通信双方都发送过报文的连接RELATED:关联的连接，既有期望连接关联的连接UNTRACKED：不进行连接跟踪的连接SNAT:配置了SNAT的连接DNAT:配置了DNAT的连接一、一般连接的...
    Linux中的conntrack命令深入解析
    最新发布
    lldhsds的专栏
    06-29 806
    conntrack命令源于Linux的netfilter项目，这是一个内置于Linux内核中的网络包处理模块。Netfilter支持各种网络相关任务，如包过滤（防火墙）、网络地址转换（NAT）和连接跟踪。conntrack工具最初设计的目的是为了管理和监视netfilter的连接跟踪系统，这个系统记录了所有经过防火墙的网络连接的状态信息。连接追踪是网络防火墙功能中的一部分，用于记录网络连接的状态。它帮助防火墙做出智能决策，比如允许或拒绝特定连接。连接追踪支持多种协议，包括 TCP、UDP、ICMP 等。
    (七)洞悉linux下的Netfilter&iptables：如何理解连接跟踪机制？【下】
    01-23 829
    连接跟踪系统的初始化流程分析     有了前面的知识，我们再分析连接跟踪系统的初始化ip_conntrack_standalone_init()函数就太容易不过了。还是先上ip_conntrack_standalone_init()函数的流程图： 该函数的核心上图已经标出来了“初始化连接跟踪系统”和“注册连接跟踪的hook函数”。其他两块这里简单做个普及，不展开讲。至少让大家明白连接跟踪为
    Linux协议栈-netfilter-conntrack
    weixin_30657541的博客
    10-24 85
    原文连接：https://blog.csdn.net/jasonchen_gbd/article/details/44874321?utm_source=blogxgwz8 转载于:https://www.cnblogs.com/wangliangblog/p/9841828.html
    linux nf_conntrack 连接跟踪机制 3-hook
    weixin_30340617的博客
    05-12 410
    conntrack hook函数分析 enum nf_ip_hook_priorities { NF_IP_PRI_FIRST = INT_MIN, NF_IP_PRI_CONNTRACK_DEFRAG = -400//优先级最大， 涉及到ip 分片重组 NF_IP_PRI_RAW = -300, NF_IP_PRI_SELINUX_F...
    【LINUX协议栈】netfilter之连接跟踪机制
    不会游泳的程序猿
    08-23 960
    连接跟踪，顾名思义，就是跟踪（并记录）连接的状态。一般conntrack用来指代“Connection Tracking”，即连接跟踪，是建立在 Netfilter框架之上的重要功能之一。
    conntracker监控
    vbaspdelphi的专栏
    12-23 513
    /proc/sys/net/nf_conntrack_max/proc/sys/net/core/somaxconn上面两个文件啥区别来
    Linux-netfilter-conntrack机制初步分析
    04-27
    连接跟踪机制是构建在Netfilter框架之上的一种技术。Netfilter框架在Linux内核中提供了多个钩子点，这些钩子点允许开发人员插入自定义处理程序来处理数据包。连接跟踪机制通过在这些钩子点上注册相应的处理函数来...
    Linux 操作系统原理 — netfilter/iptables 流量处理框架
    烟云的计算
    05-25 2198
    即：内网 IP 地址向外访问 Internet 时，发起访问的内网 IP 地址转换为指定的对外 IP 地址（可指定具体的服务以及相应的端口或端口范围），这使内网的多部主机可以通过同一个有效的公网 IP 地址访问外部网络。IP 网络有公网与私网的区分，企业内网使用私网 IP，Internet 使用公网 IP。DNAT（Destination Network Transform，目的地址转换）与 SNAT 相对，当外部网络访问内部网络时，进来的 IP 数据包会被改变 dstIP 地址。
    libnetfilter_conntrack-1.0.6-1.el7_3.x86_64.rpm
    11-30
    离线安装包，亲测可用
    libnetfilter_conntrack-1.0.7.tar.bz2
    11-18
    认识和熟悉过iptables之后，更加感叹netfilter的磅礴和浩瀚。在netfilter体系中，状态跟踪机制（conntrack）是重要的一部分。它是基于Linux系统的stateful防火墙的基础，也是NAT完成对相关包进行转换的手段。本文尝试对conntrack的机制进行分析和理解。 在基于header信息（IP，端口等）进行过滤的包过滤防火墙发展多年之后，对防火墙的需求也再逐渐丰富，stateless防火墙对探测跟踪以及DoS的防护显得力不从心。当然从历史时间来看，包过滤防火墙是符合当时发展需要，效率也更高，对于更高层的应用当时都很少，自然也不需要太关注防护。 conntrack将信息存在内存结构中，包括IP，端口，协议类型，状态以及超时时间。 而且conntrack不仅可以对TCP这种有状态的会话进行状态跟踪，还可以对UDP进行状态跟踪。 conntrack本身并不会对包进行过滤，而是提供一种基于状态和关系的过滤依据。
    连接跟踪conntrack详解
    02-08
    非常详细的连接跟踪过程讲解 非常详细的连接跟踪过程讲解
    连接跟踪实现框架
    rondyning的博客
    05-28 583
    1 概述 ​ 连接跟踪模块用于维护可跟踪协议的连接状态，即连接跟踪针对特定协议的报文进行处理，而不是所有的协议报文。其为每一个经过网络协议栈的数据包，生成一个新的连接记录项 。此后，所有属于此连接的数据包都被唯一地分配给这个连接，并标识连接的状态。连接跟踪是状态防火墙和NAT的实现基础。 2 框架 netfilter各个模块注册在hook点上的hook函数示意图： 从上图可以看出连接跟踪模块注册的钩子函数在netfilter的钩子点以及所处优先级 三种不同方向的报文经过连接跟踪模块的处理过程： 发往本机的
    ip层netfilter的连接跟踪模块
    Rain
    12-09 2412
    内核版本 2.6.21  一、ip层netfilter的连接跟踪模块的概念及相关的数据结构分析 连接跟踪（CONNTRACK）就是跟踪并且记录连接状态。包括 TCP 、UDP、ICMP  等协议类型的连接。其主要是判断该数据包是什么状态。根据数据包的源ip地址、目的ip地址、源端口、目的端口、协议号来确定一条连接。   因为连接跟踪支持TCP、UDP、ICMP等协议，而不同
    Linux网络之连接跟踪 conntrack
    wzj_110的博客
    12-03 925
    Linux网络之连接跟踪 conntrack。conntrack 命令。conntrack中的。
    linux链接跟踪,连接追踪详解
    weixin_28916013的博客
    05-12 887
    [TOC]### **Netfilter的钩子**netfilter在内核的网络栈中注册了五个钩子(Hook)，分别是(参考[此文](https://wiki.aalto.fi/download/attachments/69901948/netfilter-paper.pdf)，有没有发现这五个钩子的名字和iptables的五条链的名字很像)* NF_IP_PRE_ROUTING* NF_IP_P...
    连接跟踪（connection tracking，conntrack，CT）
    Ghost_199503的博客
    11-29 1032
    连接跟踪
    评论
    添加红包

    请填写红包祝福语或标题

    个

    红包个数最小为10个

    元

    红包金额最低5元

    当前余额3.43元 前往充值 >
    需支付：10.00元
    成就一亿技术人!
    领取后你会自动成为博主和红包主的粉丝 规则
    hope_wisdom
    发出的红包

    打赏作者

    wespten

    你的鼓励将是我创作的最大动力

    ¥1 ¥2 ¥4 ¥6 ¥10 ¥20
    扫码支付：¥1
    获取中
    扫码支付

    您的余额不足，请更换扫码支付或充值

    打赏作者

    实付元
    使用余额支付
    点击重新获取
    扫码支付
    钱包余额 0

    抵扣说明：

    1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
    2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

    余额充值