linux防火墙实现技术比较(2)

　　----------------------------------------------------------------

　　| ACCEPT/ lo interface |

　　v REDIRECT _______ |

　　--> C --> S --> ______ --> D --> ~~~~~~~~ -->|forward|----> _______ -->

　　h a |input | e {Routing } |Chain | |output |ACCEPT

　　e n |Chain | m {Decision} |_______| --->|Chain |

　　c i |______| a ~~~~~~~~ | | ->|_______|

　　k t | s | | | | |

　　s y | q | v | | |

　　u | v e v DENY/ | | v

　　m | DENY/ r Local Process REJECT | | DENY/

　　| v REJECT a | | | REJECT

　　| DENY d --------------------- |

　　v e -----------------------------

　　DENY

　　总体来说，分为输入检测，输出检测和转发检测。但具体到代码的时候，输出检测实际分散到了几处（不同的上层协议走IP层的不同的流程）：

　　UDP/RAW/ICMP报文:ip_build_xmit

　　TCP报文:ip_queue_xmit

　　转发的包：ip_forward

　　其它：ip_build_and_send_pkt

　　正如ipchains项目的负责人Rusty Russell所说，在开始ipchians不久，便发现选择的检测点位置错了，最终只能暂时将错就错。一个明显的问题是转发的包在此结构中必须经过三条链的匹配。地址伪装功能与防火墙模块牵扯过于紧密，如果不详细了解其原理的话，配置规则很容易出错。

　　此部分详细的分析可参见我早期的一份文章【9】。

　　3.2 iptables

　　A Packet Traversing the Netfilter System:

　　--->PRE------>[ROUTE]--->FWD---------->POST------>

　　Conntrack | Filter ^ NAT (Src)

　　Mangle | | Conntrack

　　NAT (Dst) | [ROUTE]

　　(QDisc) v |

　　IN Filter OUT Conntrack

　　| Conntrack ^ Mangle

　　| | NAT (Dst)

　　v | Filter

　　2.4内核中的防火墙系统不是2.2的简单增强，而是一次完全的重写，在结构上发生了非常大的变化。相比2.2的内核，2.4的检测点变为了五个。

　　在每个检测点上登记了需要处理的函数（通过nf_register_hook（）保存在全局变量nf_hooks中），当到达此检测点的时候，实现登记的函数按照一定的优先级来执行。严格的从概念上将，netfilter便是这么一个框架，你可以在适当的位置上登记一些你需要的处理函数，正式代码中已经登记了许多处理函数（在代码中搜nf_register_hook的调用），如在NF_IP_FORWARD点上登记了装发的包过滤功能。你也可以登记自己的处理函数，具体例子可参看【8】与【10】。

　　3.3 FW1

　　FW1是chekpoint推出的用于2.2内核的防火墙。由于其发布的模组文件带了大量的调试信息，可以从反汇编的代码中窥探到到许多实现细节。

　　FW1通过dev_add_pack的办法加载输入过滤函数，如果对这个函数不熟悉，请参看【14】。但是此处有个问题：在net_bh()中，传往网络层的skbuff是克隆的,即