基于Linux内核防火墙Netfilter的安全应用的设计方法.PDFVIP

　第 22 卷 第 12 期 小 型 微 型 计 算 机 系 统 V o l22 N o 12　 　　2001 年 12 月 - 　 . 2001　　 M IN I M ICRO SYST EM D ec ( ) 文 章 编 号: 2001 1 基于L inux 内核防火墙Netf ilter 的安全应用的设计方法 1 1 2 王宏健 　邵佩英 　张　籍 1( 中国科技大学 研究生院 计算机学部 北京 100039) 2(北京工业大学 计算机学院 北京 100080) 摘　要: 本文在分析 netfilter 处理数据包过程的基础上, 给出了在系统空间和在用户空间开发基于L inux 内核防火墙 netfilter 安全应用的设计方法. 关 键 词: 防火墙; 安全应用; 钩子函数 中图分类号: T P 393　　　　　文献标识码:B 写入套接字 . 接收方通过一条 语句: ( 1　前　言 data socket C read sock et, data, length) 从套接字中读数据. 数据包在L inux 网络子 L inux2. 2 内核防火墙 ipchains 提供了基本的防火墙功 系统协议栈传输过程如图 1 所示: 能, 如包过滤, 地址伪装, 透明代理等, 目前在安全应用的设计 N etfilter 作为中间件在协议栈中提供了一些钩子函数 中得到了广泛的应用. 但 ipchains 也存在一些问题, 主要有: (Hook s) , 用户可以利用钩子函数插入自己的程序, 扩展所需 1. 以内核级的 和 + + 代码编写, 目前从用 Ipchains C C 的功能. 目前, 基于 4、 6 和 的 钩子函数都 IPv IPv IPX netfilter 户空间调用 ipchains 函数还没有好的接口. 这样用户要开发 已开发完成. 我们在这里仅以 IPv4 为例加以说明, 其它的与 适合自己需要的安全系统时, 不能使用常用的编程语言如Ja 此类似. 图2 说明了 IPv4 的五个钩子函数的放置位置, 函数 va 或 Perl 等. 定义在内核