Linux下Libpcap源码分析和包 过滤机制 （四）.docVIP

过滤代码的安装前面我们曾经提到，在内核空间过滤数据包对整个捕获机制的效率是至关重要的。早期使用 SOCK_PACKET 方式的 HYPERLINK /files/list-0-0-102937-1-1.htm \o Linux Linux 不支持内核过滤，因此过滤操作只能在用户空间执行（请参阅函数 pcap_read_packet() 代码）,在《UNIX 网络编程(第一卷)》（参考资料 B）的第 26 章中对此有明确的描述。不过现在看起来情况已经发生改变， HYPERLINK /files/list-0-0-102937-1-1.htm \o Linux Linux 在 PF_PACKET 类型的 socket 上支持内核过滤。 HYPERLINK /files/list-0-0-102937-1-1.htm \o Linux Linux 内核允许我们把一个名为 LPF( HYPERLINK /files/list-0-0-102937-1-1.htm \o Linux Linux Packet Filter) 的过滤器直接放到 PF_PACKET 类型 socket 的处理过程中，过滤器在网卡接收中断执行后立即执行。LSF 基于BPF机制，但两者在实现上有略微的不同。实际代码如下： /* 在包捕获设备上附加 BPF 代码 [pcap- HYPERLINK /files/list-0-0-102937-1-1.htm \o Linux Linux.c]*/ static int pcap_setfilter_ HYPERLINK /files/list-0-0-102937-1-1.htm \o Linux Linux(pcap_t *handle, struct bpf_program *filter) { #ifdef SO_ATTACH_FILTER struct sock_fprog fcode; int can_filter_in_kernel; int err = 0; #endif /* 检查句柄和过滤器结构的正确性 */ if (!handle) return -1; if (!filter) { strncpy(handle-errbuf, setfilter: No filter specified, sizeof(handle-errbuf)); return -1; } /* 具体描述如下 */ if (install_bpf_program(handle, filter) 0) return -1; /* 缺省情况下在用户空间运行过滤器,但如果 在内核安装成功,则值为 1 */ handle-md.use_bpf = 0; /* 尝试在内核安装过滤器 */ #ifdef SO_ATTACH_FILTER #ifdef USHRT_MAX if (handle-fcode.bf_len USHRT_MAX) { /*过滤器代码太长，内核不支持 */ fprintf(stderr, Warning: Filter too complex for kerneln); fcode.filter = NULL; can_filter_in_kernel = 0; } else #endif /* USHRT_MAX */ { /* HYPERLINK /files/list-0-0-102937-1-1.htm \o Linux Linux 内核设置过滤器时使用的数据结构是 sock_fprog， 而不是 BPF 的结构 bpf_program ,因此应做结构之间的转换 */ switch (fix_program(handle, fcode)) { /* 严重错误，直接退出 */ case -1: default: return -1; /* 通过检查，但不能工作在内核中 */ case 0: can_filter_in_kernel = 0; break; /* BPF 可以在内核中工作 */ case 1: can_filter_in_kernel = 1; break; } } /* 如果可以在内核中过滤，则安装过滤器到内核中 */ if (can_filter_in_kernel) { if ((err = set_kernel_filter(handle, fcode)) == 0) { /* 安装成功 !!! */ handle-md.use_bpf = 1; } else if (err == -1) /* 出现非致命性错误 */ { if (errno != ENOPROTOOPT errno != EOPNOTSUPP) { fprintf