三 檢測點

3.0 綜述
包過濾需要檢查IP包，因此它工作在網絡層，截獲IP包，并與用戶定義的規則做比較。

3.1 ipchains
摘自

----------------------------------------------------------------
| ACCEPT/ lo interface |
v REDIRECT _______ |
--> C --> S --> ______ --> D --> ~~~~~~~~ -->|forward|----> _______ -->
h a |input | e {Routing } |Chain | |output |ACCEPT
e n |Chain | m {Decision} |_______| --->|Chain |
c i |______| a ~~~~~~~~ | | ->|_______|
k t | s | | | | |
s y | q | v | | |
u | v e v DENY/ | | v
m | DENY/ r Local Process REJECT | | DENY/
| v REJECT a | | | REJECT
| DENY d --------------------- |
v e -----------------------------
DENY

總體來說，分為輸入檢測，輸出檢測和轉發檢測。但具體到代碼的時候，輸出檢測實際分散到了幾處（不同的上層協議走IP層的不同的流程）：
UDP/RAW/ICMP報文:ip_build_xmit
TCP報文:ip_queue_xmit
轉發的包：ip_forward
其它：ip_build_and_send_pkt

正如ipchains項目的負責人Rusty Russell所說，在開始ipchians不久，便發現選擇的檢測點位置錯了，最終只能暫時將錯就錯。一個明顯的問題是轉發的包在此結構中必須經過三條鏈的匹配。地址偽裝功能與防火墻模塊牽扯過于緊密，如果不詳細了解其原理的話，配置規則很容易出錯。

此部分詳細的分析可參見我早期的一份文章。

3.2 iptables

A Packet Traversing the Netfilter System:
--->PRE------>[ROUTE]--->FWD---------->POST------>
Conntrack | Filter ^ NAT (Src)
Mangle | | Conntrack
NAT (Dst) | [ROUTE]
(QDisc) v |
IN Filter OUT Conntrack
| Conntrack ^ Mangle
| | NAT (Dst)
v | Filter

2.4內核中的防火墻系統不是2.2的簡單增強，而是一次完全的重寫，在結構上發生了非常大的變化。相比2.2的內核，2.4的檢測點變為了五個。

在每個檢測點上登記了需要處理的函數（通過nf_register_hook（）保存在全局變量nf_hooks中），當到達此檢測點的時候，實現登記的函數按照一定的優先級來執行。嚴格的從概念上將，netfilter便是這么一個框架，你可以在適當的位置上登記一些你需要的處理函數，正式代碼中已經登記了許多處理函數（在代碼中搜nf_register_hook的調用），如在NF_IP_FORWARD點上登記了裝發的包過濾功能。你也可以登記自己的處理函數，具體例子可參看與。

3.3 FW1
FW1是chekpoint推出的用于2.2內核的防火墻。由于其發布的模組文件帶了大量的調試信息，可以從反匯編的代碼中窺探到到許多實現細節。
FW1通過dev_add_pack的辦法加載輸入過濾函數，如果對這個函數不熟悉，請參看。但是此處有個問題：在net_bh()中，傳往網絡層的skbuff是克隆的,即
skb2=skb_clone(skb, GFP_ATOMIC);
if(skb2)
pt_prev->func(skb2, skb->dev, pt_prev);
這樣的話如果你想丟棄此包的話，光將其free掉是不夠的，因為它只是其中的一份拷貝而已。
FW1是怎么解決這個問題的呢？見下面的代碼（從匯編代碼翻譯成的C程序）：

packet_type *fw_type_list=NULL;
static struct packet_type fw_ip_packet_type =
{
__constant_htons(ETH_P_IP),
NULL, /* All devices */
fw_filterin,
NULL,
NULL, /* next */
};

fwinstallin(int isinstall )
{
packet_type *temp;
/*安裝*/
if(isinstall==0){
dev_add_pack(&fw_ip_packet_type);
fw_type_list = fw_ip_packet_type->next;
for(temp = fw_type_list; temp; temp=temp->temp)
dev_remove_pack(temp);
}
/*卸載*/
else {
dev_remove_pack(&fw_ip_packet_type);
for(temp = fw_ip_packet_type; temp; temp=temp->next)
dev_add_pack(temp);
}
}
不難看出，FW1把ip_packet_type歇載掉了，然后自己在自己的處理函數(fw_filterin)中調ip_recv。

輸出的掛載和lkm的手法一樣，更改dev->hard_start_xmit。dev結構在2.2版本的發展過程中變了一次，為了兼容FW1對這點也做了處理（通過檢查版本號來取偏移）。

還有一款linux下的防火墻產品WebGuard（http://www.gennet.com.tw/b5/csub_webguard.html）采用的手法與FW1其非常類似。有興趣的人可以自行研究一下。