📄 linux防火墙程序设计.htm

📁 这是我对防火墙技术的一些见解
💻 HTM
📖 第 1 页 / 共 2 页
字号:
12 下一页
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<!-- saved from url=(0048)http://www.linuxbyte.net/view.php?skin=art&ID=58 -->
<HTML><HEAD><TITLE>linuxbyte</TITLE>
<META http-equiv=Content-Language content=zh-cn>
<META http-equiv=Content-Type content="text/html; charset=gb2312">
<STYLE type=text/css>A:link {
	COLOR: #000000; TEXT-DECORATION: none
}
A:visited {
	COLOR: #000000; TEXT-DECORATION: none
}
A:hover {
	TEXT-DECORATION: underline
}
BODY {
	FONT-SIZE: 12px; SCROLLBAR-ARROW-COLOR: #395d81; BACKGROUND-COLOR: #ffffff
}
TABLE {
	BORDER-RIGHT: #889093 1px solid; BORDER-TOP: #889093 1px solid; FONT-SIZE: 9pt; BORDER-LEFT: #889093 1px solid; COLOR: #000000; BORDER-BOTTOM: #889093 1px solid
}
TEXTAREA {
	BORDER-RIGHT: #666666 1px solid; BORDER-TOP: #666666 1px solid; FONT-WEIGHT: normal; FONT-SIZE: 12px; BORDER-LEFT: #666666 1px solid; COLOR: #000000; BORDER-BOTTOM: #666666 1px solid; FONT-FAMILY: Verdana, Tahoma, Arial; BACKGROUND-COLOR: #f8f8f8
}
INPUT {
	BORDER-RIGHT: #666666 1px solid; BORDER-TOP: #666666 1px solid; FONT-WEIGHT: normal; FONT-SIZE: 12px; BORDER-LEFT: #666666 1px solid; COLOR: #000000; BORDER-BOTTOM: #666666 1px solid; FONT-FAMILY: Verdana, Tahoma, Arial; BACKGROUND-COLOR: #f8f8f8
}
SELECT {
	FONT-WEIGHT: normal; FONT-SIZE: 12px; COLOR: #000000; FONT-FAMILY: Tahoma, Verdana; BACKGROUND-COLOR: #f8f8f8
}
.nav {
	FONT-WEIGHT: bold; FONT-SIZE: 12px; FONT-FAMILY: Tahoma, Verdana
}
.header {
	FONT-WEIGHT: bold; FONT-SIZE: 11px; COLOR: #ffffff; FONT-FAMILY: Tahoma, Verdana; BACKGROUND-COLOR: #698cc3
}
.category {
	FONT-SIZE: 11px; COLOR: #000000; FONT-FAMILY: Tahoma, Verdana; BACKGROUND-COLOR: #efefef
}
.multi {
	FONT-SIZE: 11px; COLOR: #003366; FONT-FAMILY: Tahoma, Verdana
}
.smalltxt {
	FONT-SIZE: 11px; FONT-FAMILY: Tahoma, Verdana
}
.mediumtxt {
	FONT-SIZE: 12px; COLOR: #000000; FONT-FAMILY: Tahoma, Verdana
}
.bold {
	FONT-WEIGHT: bold
}
</STYLE>
</STYLE>
<META content="MSHTML 6.00.2800.1400" name=GENERATOR></HEAD>
<BODY leftMargin=0 background=Linux防火墙程序设计.files/bg.gif topMargin=0 
rightMargin=0>
<TABLE 
style="BORDER-RIGHT: #656b6d 1px solid; TABLE-LAYOUT: fixed; BORDER-TOP: #656b6d 1px solid; BORDER-LEFT: #656b6d 1px solid; BORDER-BOTTOM: #656b6d 1px solid; WORD-WRAP: break-word" 
cellSpacing=0 cellPadding=0 width="98%" align=center bgColor=#ffffff border=0>
  <TBODY>
  <TR height=0>
    <TD width="25%"></TD>
    <TD width="65%"></TD>
    <TD width="10%"></TD></TR>
  <TR height=26>
    <TD vAlign=center align=right width="100%" 
    background=Linux防火墙程序设计.files/topbg.jpg colSpan=3>
      <FORM action=search.php method=post><SELECT name=radiobutton> <OPTION 
        value=news selected>-- 新闻搜索 --</OPTION> <OPTION value=articles>-- 文章搜索 
        --</OPTION> <OPTION value=software>-- 软件搜索 --</OPTION></SELECT><INPUT 
      size=15 name=Search> <INPUT type=image src="Linux防火墙程序设计.files/go.gif" 
      border=0>&nbsp;&nbsp; </FORM></TD></TR>
  <TR>
    <TD align=left width="20%"><IMG src="Linux防火墙程序设计.files/logo.jpg" 
    border=0></TD>
    <TD align=middle width="60%"><IMG src="Linux防火墙程序设计.files/logo2.jpg" 
      border=1></TD>
    <TD align=middle width="20%">::<A 
      href="http://www.linuxbyte.net/news.php">网站新闻</A>::<BR>::<A 
      href="http://www.linuxbyte.net/articles.php">技术文献</A>::<BR>::<A 
      href="http://www.linuxbyte.net/softs.php">软件中心</A>::<BR>::<A 
      href="http://www.linuxbyte.net/bbs/index.php" target=_blank>讨论区</A>:: 
  </TD></TR>
  <TR>
    <TD background=Linux防火墙程序设计.files/tabledi.jpg colSpan=3 height=6></TD></TR>
  <TR>
    <TD background=Linux防火墙程序设计.files/titlebg.jpg colSpan=3 height=22>
      <CENTER>&nbsp;<B><A href="http://www.linuxbyte.net/index.php">首页</A></B> 
      || <B><A href="http://www.linuxbyte.net/bbs/index.php" 
      target=new>讨论区</A></B> || <B><A 
      href="http://www.linuxbyte.net/news.php">新闻中心</A></B> || <B><A 
      href="http://www.linuxbyte.net/articles.php">技术文献</A></B> || <B><A 
      href="http://www.linuxbyte.net/softs.php">软件中心</A></B> || <B><A 
      href="http://www.linuxbyte.net/about.php">关于本站</A></B> || <B><A 
      href="mailto:oneteam@mail.linuxbyte.net">联系本站</A></B>||</CENTER></TD></TR></TBODY></TABLE>
<TABLE 
style="TABLE-LAYOUT: fixed; BORDER-COLLAPSE: collapse; WORD-WRAP: break-word" 
cellSpacing=0 cellPadding=0 width="98%" align=center bgColor=#ffffff border=1>
  <TBODY>
  <TR><!--第二列-->
    <TD vAlign=top align=left width="75%"><BR>&nbsp;<A 
      href="http://www.linuxbyte.net/index.php">首页</A>&lt;&lt;&nbsp;<A 
      href="http://www.linuxbyte.net/articles.php">技术文献</A>&lt;&lt;&nbsp;<B>Linux防火墙程序设计</B><BR><BR>
      <UL>&nbsp;&nbsp;&nbsp;&nbsp; <BR><BR>赵泽良 穆华俊 
        <BR><BR>今年二月上旬，Yahoo、eBay、CNN.com、Amazon、Buy.com和E*Trade等著名商业网站连续遭到黑客攻击，造成了数以十亿美元的损失，向世人再一次敲响了网络并不安全的警钟。防火墙作为一种网络或系统之间强制实行访问控制的机制，是确保网络安全的重要手段。目前社会上各种商业产品的防火墙非常多，功能也大都很强。我们暂且不管这些防火墙产品的价格如何，由于它们在开发设计过程中注重的是产品的通用性、兼容性，考虑更多的是市场和利润，因此对于某些特殊的应用就不一定很合适。如果用户能根据自己的实际需要，将防火墙设计的一般理论和方法与自己系统的具体实践相结合，设计一些小而精、精而强的防火墙程序，则往往可以发挥出比花大价钱买来的通用型防火墙更好的作用。 
        <BR><BR>由于篇幅所限，本文不可能对防火墙的一般理论和结构进行深入的讨论，因此仅以Linux系统为例，具体说明防火墙程序的设计方法。 
        <BR><BR>一、 从程序设计角度看Linux网络 
        <BR>编写防火墙程序并不一定要求对Linux网络内核有多么深刻的理解，只是需要明白在网络内核中有这样一种机制，那就是内核可以自动调用用户编写的防火墙程序，并根据这个防火墙程序返回的结果来决定对网络收发数据报的处理策略。这一点可以从图1中看出。 
        <BR><BR><BR>二、 怎样将自己编写的防火墙程序登记到内核中 
        <BR><BR>我们已经知道内核在网络层中自动调用用户编写的防火墙程序。但有一个前提条件就是用户必须正确地将自己编写的防火墙程序登记到内核中。关于Linux内核驱动程序的编写方法，可参见本刊第四期中《Linux设备驱动程序设计实例》一文。 
        <BR><BR>内核中提供了防火墙的登记和卸载函数，分别是register_firewall和unregister_firewall，参见firewall.c。 
        <BR><BR>1、 register_firewall <BR>函数原型如下： <BR>int register_firewall(int 
        pf,struct firewall_ops *fw) <BR>返回值：0代表成功，小于0表示不成功。 <BR>参数： <BR>* 
        协议标志pf，主要的取值及其代表的协议如下： <BR>2代表Ipv4协议，4代表IPX协议，10代表Ipv6协议等。 <BR>* 
        参数结构fw定义如下： <BR>struct firewall_ops{ <BR>struct firewall_ops *next; 
        <BR>int (*fw_forward)(struct firewall_ops *this, int pf, <BR>struct 
        device *dev, void *phdr, void *arg, struct sk_buff **pskb); <BR>int 
        (*fw_input)(struct firewall_ops *this, int pf, <BR>struct device *dev, 
        void *phdr, void *arg, struct sk_buff **pskb); <BR>int 
        (*fw_output)(struct firewall_ops *this, int pf, <BR>struct device *dev, 
        void *phdr, void *arg, struct sk_buff **pskb); <BR>int fw_pf; <BR>int 
        fw_priority; <BR>}; <BR>结构中next的域将由内核来修改，使其指向下一个防火墙模块。 
        <BR>fw_pf域为协议标志，含义同上。 <BR>fw_priority指定优先级，一般应大于0。 
        <BR>fw_input、fw_output、fw_forward是用户编写的防火墙函数模块，在接收到网络报和发送网络报时内核将调用这些模块，后面将详细讨论。 
        <BR><BR>2、 unregister_firewall 
        <BR>unregister_firewall的原型说明与调用方法同register_firewall。 <BR><BR>三、 
        防火墙函数模块的设计 <BR><BR>1、 防火墙函数模块的返回值 
        <BR>返回值是至关重要的，内核将根据它来决定对网络数据报采取的处理策略。主要返回值及意义如下： <BR>0和1 通知内核忽略该网络报。 
        <BR>-1 通知内核忽略该网络报，并发送不可达到的网络控制报（ICMP报文）。 <BR>2 通知内核认可该网络报。 <BR><BR>2、 
        各模块函数的入口参数 <BR>* 参数this <BR>指向register_firewall中的fw参数结构。 <BR>* 参数pf 
        <BR>含义同register_firewall中的pf参数。 <BR>* 参数dev 
        <BR>dev是指向数据结构device的指针。在Linux系统中，每一个网络设备都是用device数据结构来描述的。在系统引导期间，网络设备驱动程序向Linux登记设备信息，如设备名、设备的I/O基地址、设备中断号、网卡的48位硬件地址等，device数据结构中包括这些设备信息以及设备服务函数的地址。关于device结构的详细信息可参见netdevice.h头文件。 
        <BR>* 参数phdr <BR>该参数指向链路层数据报报头首址。 <BR>* 参数arg
12 下一页
⌨️ 快捷键说明

复制代码 Ctrl + C
搜索代码 Ctrl + F
全屏模式 F11
切换主题 Ctrl + Shift + D
显示快捷键 ?
增大字号 Ctrl + =
减小字号 Ctrl + -