深入理解Netfilter

最新推荐文章于 2024-04-28 12:35:10 发布
最新推荐文章于 2024-04-28 12:35:10 发布
阅读量1.1k 收藏 6
点赞数 1
文章标签： 网络 linux 服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_36184908/article/details/130852301
版权

深入理解Netfilter

Netfilter 介绍

Netfilter是Linux内核中的一个框架，用于进行网络数据包的过滤和操作。它提供了强大的网络数据包处理功能，使系统管理员能够在Linux系统上实施高级的网络安全策略，包括防火墙、网络地址转换（NAT）、流量控制等。

Netfilter的核心是一个包过滤器，它可以在数据包通过网络协议栈的不同阶段进行处理。当数据包经过网络协议栈时，Netfilter可以检查、修改或丢弃这些数据包，从而允许管理员根据自己的需求对网络流量进行控制和管理。

Netfilter的主要组件包括：

  • Hooks（钩子）：Netfilter在网络协议栈中的不同阶段插入了一系列钩子，以便进行数据包处理。这些钩子包括PREROUTING、INPUT、FORWARD、OUTPUT和POSTROUTING等，分别对应着数据包进入和离开网络栈的不同阶段。

  • Tables（表）：Netfilter使用表来组织和存储规则集合。每个表都由多个规则组成，用于定义对数据包的处理方式。常见的表包括filter表、nat表和mangle表等。

  • Chains（链）：每个表中都包含多个链，用于将规则按顺序连接起来，形成数据包处理的流程。常见的链包括INPUT、OUTPUT和FORWARD等。

  • Matches（匹配器）：Netfilter使用匹配器来检查数据包是否符合规则的条件。匹配器可以根据源地址、目标地址、协议类型、端口号等进行数据包的匹配。

  • Targets（目标）：当数据包匹配了规则的条件后，Netfilter将根据规则中指定的目标进行相应的操作。常见的目标包括ACCEPT（接受数据包）、DROP（丢弃数据包）、REJECT（拒绝数据包）等。

通过使用Netfilter，管理员可以根据自己的需求配置防火墙规则、进行网络地址转换、实施流量控制等操作。它为Linux系统提供了强大的网络安全和管理功能。

Hooks使用

在Netfilter中，Hooks（钩子）是用于在数据包通过网络协议栈的不同阶段进行处理的组件。下面是几个示例，展示了如何使用Hooks进行特定操作：

PREROUTING Hook：PREROUTING钩子位于数据包进入网络协议栈的早期阶段，可以用于实施网络地址转换（NAT）等操作。以下是一个PREROUTING钩子的示例，将来自外部网络的数据包的目标IP地址进行转换：

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// PREROUTING钩子的处理函数
static unsigned int prerouting_hook_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);
    
    // 在此处进行目标IP地址的转换操作
    
    return NF_ACCEPT; // 允许数据包继续传递
}

// 注册PREROUTING钩子
static struct nf_hook_ops prerouting_hook_ops = {
    .hook = prerouting_hook_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_PRE_ROUTING,
    .priority = NF_IP_PRI_FIRST,
};

// 在模块初始化时注册PREROUTING钩子
int __init my_module_init(void)
{
    nf_register_hook(&prerouting_hook_ops);
    return 0;
}

// 在模块退出时注销PREROUTING钩子
void __exit my_module_exit(void)
{
    nf_unregister_hook(&prerouting_hook_ops);
}

module_init(my_module_init);
module_exit(my_module_exit);

FORWARD Hook：FORWARD钩子位于数据包在网络协议栈中进行转发时的阶段，可以用于实施流量控制等操作。以下是一个FORWARD钩子的示例，阻止从特定源IP地址发出的数据包进行转发：

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// FORWARD钩子的处理函数
static unsigned int forward_hook_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);

    // 检查源IP地址，如果满足特定条件，则丢弃数据包
    if (ip_header->saddr == htonl(0x12345678))
        return NF_DROP; // 丢弃数据包

    return NF_ACCEPT; // 允许数据包继续传递
}

// 注册FORWARD钩子
static struct nf_hook_ops forward_hook_ops = {
    .hook = forward_hook_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_FORWARD,
    .priority = NF_IP_PRI_FIRST,
};

// 在模块初始化时注册FORWARD钩子
int __init my_module_init(void)
{
    nf_register_hook(&forward_hook_ops);
    return 0;
}

Tables（表）使用

在Netfilter中，Tables（表）是用于组织和管理规则的组件。下面是几个示例，展示了如何使用Tables来管理规则：

Filter表：Filter表用于过滤数据包，可以根据规则允许或拒绝数据包通过。以下是一个使用Filter表的示例，允许源IP地址为特定值的数据包通过：

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// Filter表的处理函数
static unsigned int filter_table_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);
    
    // 检查源IP地址，如果满足特定条件，则允许数据包通过
    if (ip_header->saddr == htonl(0x12345678))
        return NF_ACCEPT; // 允许数据包通过

    return NF_DROP; // 拒绝数据包
}

// 注册Filter表的钩子
static struct nf_hook_ops filter_table_ops = {
    .hook = filter_table_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_LOCAL_OUT,
    .priority = NF_IP_PRI_FIRST,
};

// 在模块初始化时注册Filter表的钩子
int __init my_module_init(void)
{
    nf_register_hook(&filter_table_ops);
    return 0;
}

// 在模块退出时注销Filter表的钩子
void __exit my_module_exit(void)
{
    nf_unregister_hook(&filter_table_ops);
}

module_init(my_module_init);
module_exit(my_module_exit);

NAT表：NAT表用于实施网络地址转换，允许将数据包的源IP地址或目标IP地址进行转换。以下是一个使用NAT表的示例，将数据包的源IP地址进行转换：

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// NAT表的处理函数
static unsigned int nat_table_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);
    
    // 在此处进行源IP地址转换操作
    
    return NF_ACCEPT; // 允许数据包继续传递
}

// 注册NAT表的钩子
static struct nf_hook_ops nat_table_ops = {
    .hook = nat_table_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_POST_ROUTING,
    .priority = NF_IP_PRI_FIRST,
};

// 在模块初始化时注册NAT表的钩子
int __init my_module_init(void)
{
    nf_register_hook(&nat_table_ops);
    return 0;
}

// 在模块退出时注销NAT表的钩子
void __exit my_module_exit(void)
{
    nf_unregister_hook(&nat_table_ops);
}

module_init(my_module_init);
module_exit(my_module_exit);

这些示例展示了在Linux内核中如何使用Tables（表）组件来管理规则。在实际应用中，可以根据需要使用不同的Tables（表）来管理规则。

使用其他类型的表：

Mangle表

Mangle表用于修改数据包的头部信息，例如修改TTL（Time to Live）值或设置标记等。以下是一个使用Mangle表的示例，将数据包的TTL值减少1

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// Mangle表的处理函数
static unsigned int mangle_table_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);
    
    // 修改TTL值
    ip_header->ttl--;

    return NF_ACCEPT; // 允许数据包继续传递
}

// 注册Mangle表的钩子
static struct nf_hook_ops mangle_table_ops = {
    .hook = mangle_table_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_PRE_ROUTING,
    .priority = NF_IP_PRI_FIRST,
};

// 在模块初始化时注册Mangle表的钩子
int __init my_module_init(void)
{
    nf_register_hook(&mangle_table_ops);
    return 0;
}

// 在模块退出时注销Mangle表的钩子
void __exit my_module_exit(void)
{
    nf_unregister_hook(&mangle_table_ops);
}

module_init(my_module_init);
module_exit(my_module_exit);

Raw表

Raw表用于处理特殊的数据包，例如ICMP（Internet Control Message Protocol）错误报文。以下是一个使用Raw表的示例，对ICMP错误报文进行处理：

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>
#include <linux/icmp.h>

// Raw表的处理函数
static unsigned int raw_table_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);
    
    // 检查数据包是否为ICMP错误报文
    if (ip_header->protocol == IPPROTO_ICMP) {
        struct icmphdr *icmp_header = icmp_hdr(skb);
        
        // 在此处处理ICMP错误报文
        // ...
    }

    return NF_ACCEPT; // 允许数据包继续传递
}

// 注册Raw表的钩子
static struct nf_hook_ops raw_table_ops = {
    .hook = raw_table_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_LOCAL_IN,
    .priority = NF_IP_PRI_FIRST,
};

// 在模块初始化时注册Raw表的钩子
int __init my_module_init(void)
{
    nf_register_hook(&raw_table_ops);
    return 0;
}

// 在模块退出时注销Raw表的钩子
void __exit my_module_exit(void)
{
    nf_unregister_hook(&raw_table_ops);
}

module_init(my_module_init);
module_exit(my_module_exit);

Chains（链）组件

Netfilter中的Chains（链）组件用于对数据包进行处理和过滤。Chains可以被认为是一系列规则的集合，它们按照一定的顺序依次应用于数据包。每个表都包含多个预定义的Chains，例如在Filter表中有INPUT、FORWARD和OUTPUT等Chains。

以下是一些示例，展示了如何使用Chains组件：

INPUT链

Filter表中的INPUT链：这个示例展示了如何使用Filter表中的INPUT链来过滤接收到的数据包，只允许特定源IP的数据包通过，其他数据包则被丢弃。

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// Filter表中INPUT链的处理函数
static unsigned int input_chain_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);
    
    // 只允许源IP为192.168.0.1的数据包通过
    if (ip_header->saddr == htonl(0xC0A80001)) {
        return NF_ACCEPT; // 允许数据包通过
    } else {
        return NF_DROP; // 丢弃数据包
    }
}

// 注册Filter表中INPUT链的钩子
static struct nf_hook_ops input_chain_ops = {
    .hook = input_chain_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_LOCAL_IN,
    .priority = NF_IP_PRI_FIRST,
};

// 在模块初始化时注册Filter表中INPUT链的钩子
int __init my_module_init(void)
{
    nf_register_hook(&input_chain_ops);
    return 0;
}

// 在模块退出时注销Filter表中INPUT链的钩子
void __exit my_module_exit(void)
{
    nf_unregister_hook(&input_chain_ops);
}

module_init(my_module_init);
module_exit(my_module_exit);

FORWARD链

Filter表中的FORWARD链：这个示例展示了如何使用Filter表中的FORWARD链来修改目标IP，并将数据包转发到指定的目标IP。

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// Filter表中FORWARD链的处理函数
static unsigned int forward_chain_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);
    
    // 修改目标IP为192.168.0.100
    ip_header->daddr = htonl(0xC0A80064);

    return NF_ACCEPT; // 允许数据包继续转发
}

// 注册Filter表中FORWARD链的钩子
static struct nf_hook_ops forward_chain_ops = {
    .hook = forward_chain_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_FORWARD,
    .priority = NF_IP_PRI_FIRST,
};

// 在模块初始化时注册Filter表中FORWARD链的钩子
int __init my_module_init(void)
{
    nf_register_hook(&forward_chain_ops);
    return 0;
}

// 在模块退出时注销Filter表中FORWARD链的钩子
void __exit my_module_exit(void)
{
    nf_unregister_hook(&forward_chain_ops);
}

module_init(my_module_init);
module_exit(my_module_exit);

这些示例展示了如何使用Chains组件进行数据包处理和过滤。根据需要，可以根据具体的场景和要求来定义和注册适当的处理函数和钩子，以实现所需的功能。

Matches（匹配器）组件

Netfilter中的Matches（匹配器）组件用于根据特定的条件对数据包进行匹配。匹配器可以用于过滤规则的条件判断，以决定是否对数据包进行处理或丢弃。

以下是一些示例，展示了如何使用Matches组件：

源IP匹配器

这个示例展示了如何使用源IP匹配器来匹配特定的源IP地址，并对匹配的数据包进行处理。

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// 源IP匹配器的处理函数
static int source_ip_match_func(const struct sk_buff *skb, const struct xt_match_param *par)
{
    struct iphdr *ip_header = ip_hdr(skb);
    __be32 source_ip = ip_header->saddr;

    // 匹配源IP为192.168.0.1的数据包
    if (source_ip == htonl(0xC0A80001)) {
        return true; // 匹配成功
    } else {
        return false; // 匹配失败
    }
}

// 源IP匹配器的数据结构
static struct xt_match source_ip_match = {
    .name = "source_ip",
    .revision = 0,
    .family = NFPROTO_IPV4, // 仅适用于IPv4协议
    .match = source_ip_match_func,
    .matchsize = sizeof(struct xt_match),
    .me = THIS_MODULE,
};

// 在模块初始化时注册源IP匹配器
int __init my_module_init(void)
{
    xt_register_match(&source_ip_match);
    return 0;
}

// 在模块退出时注销源IP匹配器
void __exit my_module_exit(void)
{
    xt_unregister_match(&source_ip_match);
}

module_init(my_module_init);
module_exit(my_module_exit);

目标端口匹配器

这个示例展示了如何使用目标端口匹配器来匹配特定的目标端口，并对匹配的数据包进行处理。

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>
#include <linux/tcp.h>

// 目标端口匹配器的处理函数
static int dest_port_match_func(const struct sk_buff *skb, const struct xt_match_param *par)
{
    struct tcphdr *tcp_header = tcp_hdr(skb);
    __be16 dest_port = tcp_header->dest;

    // 匹配目标端口为80的数据包
    if (dest_port == htons(80)) {
        return true; // 匹配成功
    } else {
        return false; // 匹配失败
    }
}

// 目标端口匹配器的数据结构
static struct xt_match dest_port_match = {
    .name = "dest_port",
    .revision = 0,
    .family = NFPROTO_IPV4, // 仅适用于IPv4协议
    .match = dest_port_match_func,
    .matchsize = sizeof(struct xt_match),
    .me = THIS_MODULE,
};

// 在模块初始化时注册目标端口匹配器
int __init my_module_init(void)
{
    xt_register_match(&dest_port_match);
    return 0;
}

// 在模块退出时注销目标端口匹配器
void __exit my_module_exit(void)
{
    xt_unregister_match(&dest_port_match);
}

module_init(my_module_init);
module_exit(my_module_exit);

这些示例展示了如何使用Matches组件来创建自定义的匹配器，并将其注册到Netfilter框架中。根据具体的需求，可以定义和实现适当的匹配函数，并根据条件返回true或false来指示匹配结果。

Targets（目标）组件

Netfilter中的Targets（目标）组件用于对匹配成功的数据包进行特定的操作或修改。目标可以用于修改数据包的头部信息、丢弃数据包、重定向数据包等。

以下是一些示例，展示了如何使用Targets组件：

修改源IP地址

这个示例展示了如何使用目标组件来修改数据包的源IP地址。

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h>

// 修改源IP地址的目标函数
static unsigned int modify_source_ip_target_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    struct iphdr *ip_header = ip_hdr(skb);

    // 修改源IP地址为192.168.0.2
    ip_header->saddr = htonl(0xC0A80002);

    return NF_ACCEPT; // 接受数据包并继续处理
}

// 修改源IP地址的目标结构
static struct nf_hook_ops modify_source_ip_target = {
    .hook = modify_source_ip_target_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_PRE_ROUTING, // 在数据包进入路由前进行处理
    .priority = NF_IP_PRI_FIRST, // 优先级设为最高
};

// 在模块初始化时注册修改源IP地址的目标
int __init my_module_init(void)
{
    nf_register_hook(&modify_source_ip_target);
    return 0;
}

// 在模块退出时注销修改源IP地址的目标
void __exit my_module_exit(void)
{
    nf_unregister_hook(&modify_source_ip_target);
}

module_init(my_module_init);
module_exit(my_module_exit);

丢弃数据包

这个示例展示了如何使用目标组件来丢弃匹配成功的数据包。

#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>

// 丢弃数据包的目标函数
static unsigned int drop_packet_target_func(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    return NF_DROP; // 丢弃数据包
}

// 丢弃数据包的目标结构
static struct nf_hook_ops drop_packet_target = {
    .hook = drop_packet_target_func,
    .pf = NFPROTO_IPV4, // 仅适用于IPv4协议
    .hooknum = NF_INET_FORWARD, // 在数据包转发时进行处理
    .priority = NF_IP_PRI_FIRST, // 优先级设为最高
};

// 在模块初始化时注册丢弃数据包的目标
int __init my_module_init(void)
{
    nf_register_hook(&drop_packet_target);
    return 0;
}

// 在模块退出时注销丢弃数据包的目标
void __exit my_module_exit(void)
{
    nf_unregister_hook(&drop_packet_target);
}

module_init(my_module_init);
module_exit(my_module_exit);

这些示例展示了如何使用Targets组件来创建自定义的目标，并将其注册到Netfilter框架中。

推荐一个零声学院免费教程，个人觉得老师讲得不错，分享给大家，有兴趣可以去看看：[Linux，Nginx，DPDK等技术内容，点击立即学习: 链接.

Kxyls
关注
Netfilter框架完全解析.pdf
09-30
Netfilter框架完全解析.pdf
深入理解netfilter框架|经典PDF
极客重生
07-08 1172
hi，大家好，今天给大家分享一个学习Linux内核防火墙经典文档，文章贯穿了用户态 iptables，内核态 netfilter 及 conntrack，图文并茂，包含重要的数据结构解析和...
大白话netfilter
yanchendage的博客
03-16 9845
背景 最近在看k8s源码，读到了kube proxy，网络应该是k8s里重要的一章节，看着看着发现还是之前学的又给忘了，所以先来一波技术储备。 netfilter net+filter，filter是过滤的意思，那我们从字面分析就是过滤数据包从而达到防火墙的目的。上面说netfilter位于内核空间，那也就是说netfilter在内核空间设立了一个个检测点（HOOK）。 NF_IP_PRE_ROUTING 刚刚进入网络层的数据包通过此点 NF_IP_LOCAL_IN 经路由查找后，送往本机的通过此检查点
Netfilter简介
railzen的博客
02-26 1475
Netfilter是由Rusty Russell提出的自Linux 2.4添加的内核防火墙框架，该框架既简洁又灵活，可实现安全策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、透明代理、动态网络地址转换（Network Address Translation，NAT），以及基于用户及媒体访问控制（Media Access Control，MAC）地址的过滤和基于状态的过滤、包速率限制等。
linux-内核：netfilter框架
赵凯月的博客
06-23 1730
Netfilter/IPTables 是 Linux2.4.x 之后新一代的 Linux 防火墙机制，是linux内核的一个子系统。Netfilter 采用模块化设计，具有良好的可扩充性。其重要工具模块 IPTables 从用户态的 iptables 连接 到内核态的 Netfilter 的架构中 ， Netfilter 与 IP 协议栈是无缝契合的， 并允许使用者对数据报进行过滤、地址转换、处理等操作。主要源代码文件。
深入理解 netfilter 和 iptables！
云原生实验室
03-09 1079
Netfilter （配合 iptables）使得用户空间应用程序可以注册内核网络栈在处理数据包时应用的处理规则，实现高效的网络转发和过滤。很多常见的主机防火墙程序以及 Kubernete...
Linux: Netfilter 简介
最新发布
JiMoKuangXiangQu的专栏
04-28 1527
Linux，网络，Netfilter
ja-netfilter-all
06-29
ja-netfilter-all是一个针对Java应用程序的网络过滤框架，它提供了对网络数据包的全面控制和解码能力。...通过深入理解和熟练运用ja-netfilter-all，你可以构建更加安全、高效且可监控的Java网络应用。
Netfilter_Modules
10-16
1. **理解Netfilter架构**：在编写任何Netfilter模块之前，首先需要了解整个Netfilter框架的工作原理，包括数据包的流向、不同钩子点的作用以及如何注册模块等。 2. **模块初始化与卸载**：每个模块都需要实现初始化...
aodv_rrep.rar_netfilter
09-24
通过阅读和分析这个源代码，我们可以深入理解AODV协议如何与Netfilter框架结合工作，以及如何在Linux内核中实现自定义的路由策略。 总结来说，这个项目是关于在Linux内核中实现AODV路由协议的kaodv模块，利用...
netfilter框架及基本原理介绍
m0_74282605的博客
01-11 1445
IN钩子，即所有Director内核内的数据包路由规则都必须将数据包发送到LOCAL_ IN钩子， 在你建立Director时这很容易实现，因为所有抵达Director的集群服务数据包都有-一个虚拟ip地址(VIP) 作为目标地址，VIP实际上是属于Director的一- 个ip别名或从属ip地址，因为VIP是Director所有的- -个本地ip地址，Director 内核中的路由表将总是在内部传递数据包，因此Director接收到的目标地址为VIP的数据包总会命中LOCAL _IN钩子。
【协议森林】详解Netfilter（一）
平凡的世界
01-09 2205
1、Netfilter介绍 Netfilter是2.4.x内核引入的，工作在内核空间中，通常结合ip_table内核模块一起使用以构造linux下的防火墙。Linux内核中，netfilter是一个包过滤框架，默认地，它在这个框架上实现了包过滤、状态检测、网络地址转换和包标记等多种功能。因为它设计的开放性，任何有内核开发经验的开发人员，也可以很容易地利用它提供接口，在内核的数据链路层、网络层，实现...
Netfilter和iptables命令详解，从入门到精通
meihualing的专栏
05-09 2645
iptables命令详解
Linux Netfilter介绍
weixin_42915431的博客
12-31 7343
netfilter 框架由最著名的 Linux 内核开发人员之一 Rusty Russell 于 1998 年创立，作为对 ipchains（Linux 2.2.x）和 ipfwadm（Linux 2.0.x）的旧实现的改进。netfilter 子系统提供了一个框架，你可以在网络堆栈中的数据包遍历过程中的各个点（netfilter hooks）注册回调并对数据包执行各种操作，比如更改地址或端口、丢弃数据包、日志记录等。
netfilter内核实现概述
qq_17045267的博客
01-23 2149
netfilter内核实现概述 一、前言 netfilter是Linux内核中网络防火墙的基础，无论是基于xtables的iptables，还是conntrack、nftables，其底层都是基于netfilter的。总体来说，netfilter提供了一个相对来说比较通用的防火墙框架，这个框架提供了个入口，内核中的其他网络模块可以通过这个入口来实现自己的网络逻辑。本文简单地对netfilter的整个框架以及其内核实现进行了梳理。 二、netfilter框架 2.1 基本原理 相比于那些基于netfilter
linux Netfilter在网络层的实现详细分析（iptables）
热门推荐
weixin_42915431的博客
12-31 1万+
本文来详细分析linux netfilter在网络层的实现细节，本文代码分析是基于Linux内核版本4.18.0-80（也即centos8.0系统上）。我画了一张linux内核协议栈网络层netfilter（iptables）的全景图，里面涉及内容比较多，本文会详细讲解。
Netfilter是什么？如何快速入门使用
code2day的博客
03-03 704
Netfilter 是 Linux 操作系统内核中的一个重要组成部分，它提供了一个框架来处理网络数据包的过滤、修改和重定向等操作。Netfilter 的主要功能是实现防火墙，它可以根据一系列规则对进出网络接口的数据包进行过滤和处理，以保护网络安全。此外，Netfilter 还可以对数据包进行 NAT（网络地址转换）操作，使得内部网络可以通过一个公共 IP 地址来访问互联网。Netfilter 在内核中的具体实现是通过一个称为 iptables 的工具来实现的。
Netfilter 学习
王以山的专栏
03-23 1886
一、Netfiter简介 ---From netfilter.samba.org/what is netfilter     从Linux Kernel 2.4开始，一个新的网络包过滤框架替代了原来的ipchains/ipfwadm系统，那就是netfilter和iptables。作为内核网络协议堆的一个扩展子集，netfilter可以在内核空间非常高效的进行包过滤，网络地址转换（NAT）和包重组
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值