Linux防火墻框架問題怎么理解
防火墻主要由服務(wù)訪問規(guī)則、驗(yàn)證工具、包過濾和應(yīng)用網(wǎng)關(guān)4個(gè)部分組成，防火墻就是一個(gè)位于計(jì)算機(jī)和它所連接的網(wǎng)絡(luò)之間的軟件或硬件。Linux系統(tǒng)中的Netfilter提供了一個(gè)抽象、通用化的框架，該框架定義的一個(gè)子功能的實(shí)現(xiàn)就是包過濾子系統(tǒng)，下面一起看看具體介紹!
具體介紹
Linux系統(tǒng)中的Netfilter提供了一個(gè)抽象、通用化的框架，該框架定義的一個(gè)子功能的實(shí)現(xiàn)就是包過濾子系統(tǒng)，框架包含以下五部分：1. 為每種網(wǎng)絡(luò)協(xié)議(IPv4、IPv6等)定義一套鉤子函數(shù)(IPv4定義了5個(gè)鉤子函數(shù)), 這些鉤子函數(shù)在數(shù)據(jù)報(bào)流過協(xié)議棧的幾個(gè)關(guān)鍵點(diǎn)被調(diào)用。在這幾個(gè)點(diǎn)中，協(xié)議棧將把數(shù)據(jù)報(bào)及鉤子函數(shù)標(biāo)號(hào)作為參數(shù)調(diào)用Netfilter框架。
2. 內(nèi)核的任何模塊可以對(duì)每種協(xié)議的一個(gè)或多個(gè)鉤子進(jìn)行注冊(cè)，實(shí)現(xiàn)掛接，這樣當(dāng)某個(gè)數(shù)據(jù)包被傳遞給Netfilter框架時(shí)，內(nèi)核能檢測是否有任何模塊對(duì)該協(xié)議和鉤子函數(shù)進(jìn)行了注冊(cè)。若注冊(cè)了，則調(diào)用該模塊的注冊(cè)時(shí)使用的回調(diào)函數(shù)，這樣這些模塊就有機(jī)會(huì)檢查(可能還會(huì)修改)該數(shù)據(jù)包、丟棄該數(shù)據(jù)包及指示Netfilter將該數(shù)據(jù)包傳入用戶空間的隊(duì)列。
3 .那些排隊(duì)的數(shù)據(jù)包是被傳遞給用戶空間的異步地進(jìn)行處理。一個(gè)用戶進(jìn)程能檢查數(shù)據(jù)包，修改數(shù)據(jù)包，甚至可以重新將該數(shù)據(jù)包通過離開內(nèi)核的同一個(gè)鉤子函數(shù)中注入到內(nèi)核中。 4. 任何在IP層要被拋棄的IP數(shù)據(jù)包在真正拋棄之前都要進(jìn)行檢查。例如允許模塊檢查IP-Spoofed包(被路由拋棄)。
5.IP層的五個(gè)HOOK點(diǎn)的位置如下所示：(1)NF_IP_PRE_ROUTING：剛剛進(jìn)入網(wǎng)絡(luò)層的數(shù)據(jù)包通過此點(diǎn)(剛剛進(jìn)行完版本號(hào)，校驗(yàn) 和等檢測)，源地址轉(zhuǎn)換在此點(diǎn)進(jìn)行;IP_Input.c中IP_Rcv調(diào)用;(2)NF_IP_LOCAL_IN：經(jīng)路由查找后，送往本機(jī)的通過此檢查點(diǎn)，INPUT包過濾在此點(diǎn)進(jìn)行，IP_local_deliver中調(diào)用;(3)NF_IP_FORWARD：要轉(zhuǎn)發(fā)的包通過此檢測點(diǎn)，F(xiàn)ORWORD包過濾在此點(diǎn)進(jìn)行; (4)NF_IP_POST_ROUTING：所有馬上便要通過網(wǎng)絡(luò)設(shè)備出去的包通過此檢測點(diǎn)，內(nèi)置的目的地址轉(zhuǎn)換功能(包括地址偽裝)在此點(diǎn)進(jìn)行;(5)NF_IP_LOCAL_OUT：本機(jī)進(jìn)程發(fā)出的包通過此檢測點(diǎn)，OUTPUT包過濾在此點(diǎn)進(jìn)行。
這些點(diǎn)是已經(jīng)在內(nèi)核中定義好的，內(nèi)核模塊能夠注冊(cè)在這些HOOK點(diǎn)進(jìn)行的處理，可使用nf_register_hook函數(shù)指定。在數(shù)據(jù)報(bào)經(jīng)過這些鉤子函數(shù)時(shí)被調(diào)用，從而模塊可以修改這些數(shù)據(jù)報(bào)，并向Netfilter返回如下值：
NF_ACCEPT 繼續(xù)正常傳輸數(shù)據(jù)報(bào)
NF_DROP 丟棄該數(shù)據(jù)報(bào)，不再傳輸
NF_STOLEN 模塊接管該數(shù)據(jù)報(bào)，不要繼續(xù)傳輸該數(shù)據(jù)報(bào)
NF_QUEUE 對(duì)該數(shù)據(jù)報(bào)進(jìn)行排隊(duì)(通常用于將數(shù)據(jù)報(bào)給用戶空間的進(jìn)程進(jìn)行處理)
NF_REPEAT 再次調(diào)用該鉤子函數(shù)
一個(gè)基于Netfilter框架的、稱為IPtables的數(shù)據(jù)報(bào)選擇系統(tǒng)在Linux2.4內(nèi)核中被應(yīng)用，其實(shí)它就是IPchains的后繼工具，但卻有更強(qiáng)的可擴(kuò)展性。內(nèi)核模塊可以注冊(cè)一個(gè)新的規(guī)則表(table)，并要求數(shù)據(jù)報(bào)流經(jīng)指定的規(guī)則表。這種數(shù)據(jù)報(bào)選擇用于實(shí)現(xiàn)數(shù)據(jù)報(bào)過濾(filter表)，網(wǎng)絡(luò)地址轉(zhuǎn)換(Nat表)及數(shù)據(jù)報(bào)處理(Mangle表)。 Linux2.4內(nèi)核提供的這三種數(shù)據(jù)報(bào)處理功能都基于Netfilter的鉤子函數(shù)和IP表。它們是獨(dú)立的模塊，相互之間是獨(dú)立的。它們都完美的集成到由Netfileter提供的框架中。
包過濾
Filter表格不會(huì)對(duì)數(shù)據(jù)報(bào)進(jìn)行修改，而只對(duì)數(shù)據(jù)報(bào)進(jìn)行過濾。IPtables優(yōu)于IPchains的一個(gè)方面就是它更為小巧和快速。它是通過鉤子函數(shù)NF_IP_LOCAL_IN、NF_IP_FORWARD及NF_IP_LOCAL_OUT接入Netfilter框架的。因此對(duì)于任何一個(gè)數(shù) 報(bào)只有一個(gè)地方對(duì)其進(jìn)行過濾。這相對(duì)IPchains來說是一個(gè)巨大的改進(jìn)，因?yàn)樵贗Pchains中一個(gè)被轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)會(huì)遍歷三條鏈。
NAT
NAT表格監(jiān)聽三個(gè)Netfilter鉤子函數(shù)：NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING及NF_IP_LOCAL_OUT。 NF_IP_PRE_ROUTING實(shí)現(xiàn)對(duì)需要轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)的源地址進(jìn)行地址轉(zhuǎn)換而NF_IP_POST_ROUTING則對(duì)需要轉(zhuǎn)發(fā)的數(shù)據(jù)包的目的地址進(jìn)行地址轉(zhuǎn)換。對(duì)于本地?cái)?shù)據(jù)報(bào)的目的地址的轉(zhuǎn)換則由NF_IP_LOCAL_OUT來實(shí)現(xiàn)。NAT表格不同于filter表格，因?yàn)橹挥行逻B接的第一個(gè)數(shù)據(jù)報(bào)將遍歷表格，而隨后的數(shù)據(jù)報(bào)將根據(jù)第一個(gè)數(shù)據(jù)報(bào)的結(jié)果進(jìn)行同樣的轉(zhuǎn)換處理。NAT表格被用在源NAT、目的NAT，偽裝(其是源NAT的一個(gè)特例)及透明代理(其是目的NAT的一個(gè)特例)。
數(shù)據(jù)報(bào)處理(Packet Mangling)
Mangle表格在NF_IP_PRE_ROUTING和NF_IP_LOCAL_OUT鉤子中進(jìn)行注冊(cè)。使用 mangle表，可以實(shí)現(xiàn)對(duì)數(shù)據(jù)報(bào)的修改或給數(shù)據(jù)報(bào)附上一些帶外數(shù)據(jù)。當(dāng)前mangle表支持修改TOS位及設(shè)置skb的nfmard字段。
如果我們想加入自己的代碼，便要用nf_register_hook函數(shù)。我們的工作便是生成一個(gè)struct nf_hook_ops結(jié)構(gòu)的實(shí)例，并用nf_register_hook將其HOOK上。其中l(wèi)ist項(xiàng)我們總要初始化為{NULL,NULL};由于一般在IP層工作，pf總是PF_INET;hooknum就是我們選擇的HOOK點(diǎn);一個(gè)HOOK點(diǎn)可能掛多個(gè)處理函數(shù)，誰先誰后，便要看優(yōu)先級(jí)，即priority的指定了。Netfilter_IPv4.h中用一個(gè)枚舉類型指定了內(nèi)置的處理函數(shù)的優(yōu)先級(jí)
補(bǔ)充閱讀：防火墻主要使用技巧
一、所有的防火墻文件規(guī)則必須更改。
盡管這種方法聽起來很容易，但是由于防火墻沒有內(nèi)置的變動(dòng)管理流程，因此文件更改對(duì)于許多企業(yè)來說都不是最佳的實(shí)踐方法。如果防火墻管理員因?yàn)橥话l(fā)情況或者一些其他形式的業(yè)務(wù)中斷做出更改，那么他撞到槍口上的可能性就會(huì)比較大。但是如果這種更改抵消了之前的協(xié)議更改，會(huì)導(dǎo)致宕機(jī)嗎?這是一個(gè)相當(dāng)高發(fā)的狀況。
防火墻管理產(chǎn)品的中央控制臺(tái)能全面可視所有的防火墻規(guī)則基礎(chǔ)，因此團(tuán)隊(duì)的所有成員都必須達(dá)成共識(shí)，觀察誰進(jìn)行了何種更改。這樣就能及時(shí)發(fā)現(xiàn)并修理故障，讓整個(gè)協(xié)議管理更加簡單和高效。
二、以最小的權(quán)限安裝所有的訪問規(guī)則。
另一個(gè)常見的安全問題是權(quán)限過度的規(guī)則設(shè)置。防火墻規(guī)則是由三個(gè)域構(gòu)成的：即源(IP地址)，目的地(網(wǎng)絡(luò)/子網(wǎng)絡(luò))和服務(wù)(應(yīng)用軟件或者其他目的地)。為了確保每個(gè)用戶都有足夠的端口來訪問他們所需的系統(tǒng)，常用方法是在一個(gè)或者更多域內(nèi)指定打來那個(gè)的目標(biāo)對(duì)象。當(dāng)你出于業(yè)務(wù)持續(xù)性的需要允許大范圍的IP地址來訪問大型企業(yè)的網(wǎng)絡(luò)，這些規(guī)則就會(huì)變得權(quán)限過度釋放，因此就會(huì)增加不安全因素。服務(wù)域的規(guī)則是開放65535個(gè)TCP端口的ANY。防火墻管理員真的就意味著為黑客開放了65535個(gè)攻擊矢量?
三、根據(jù)法規(guī)協(xié)議和更改需求來校驗(yàn)每項(xiàng)防火墻的更改。
在防火墻操作中，日常工作都是以尋找問題，修正問題和安裝新系統(tǒng)為中心的。在安裝最新防火墻規(guī)則來解決問題，應(yīng)用新產(chǎn)品和業(yè)務(wù)部門的過程中，我們經(jīng)常會(huì)遺忘防火墻也是企業(yè)安全協(xié)議的物理執(zhí)行者。每項(xiàng)規(guī)則都應(yīng)該重新審核來確保它能符合安全協(xié)議和任何法規(guī)協(xié)議的內(nèi)容和精神，而不僅是一篇法律條文。
四、當(dāng)服務(wù)過期后從防火墻規(guī)則中刪除無用的規(guī)則。
規(guī)則膨脹是防火墻經(jīng)常會(huì)出現(xiàn)的安全問題，因?yàn)槎鄶?shù)運(yùn)作團(tuán)隊(duì)都沒有刪除規(guī)則的流程。業(yè)務(wù)部門擅長讓你知道他們了解這些新規(guī)則，卻從來不會(huì)讓防火墻團(tuán)隊(duì)知道他們不再使用某些服務(wù)了。了解退役的服務(wù)器和網(wǎng)絡(luò)以及應(yīng)用軟件更新周期對(duì)于達(dá)成規(guī)則共識(shí)是個(gè)好的開始。運(yùn)行無用規(guī)則的報(bào)表是另外一步。黑客喜歡從來不刪除規(guī)則的防火墻團(tuán)隊(duì)。
Linux防火墻框架問題怎么理解相關(guān)文章：