操作系统安全：Netfilter框架.pptx

Netfilter框架 Netfilter的框架 1、Netfilter概述 Netfilter/IPTables是Linux2.4.x之后新一代的Linux防火墙机制，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性。其重要工具模块IPTables从用户态的iptables连接到内核态的Netfilter的架构中，Netfilter与IP协议栈是无缝契合的，并允许使用者对数据报进行过滤、地址转换、处理等操作。 Netfilter的框架 Netfilter分四个基本模块： 1. Ct 链接追踪 2. Filter 过滤 3. Nat 地址转换 4. Mangle 修改数据报文 CT是基础核心模块是状态防火墙和nat的基础. 而其他模块会维护一个全局表，也即我们用iptables命令的时候需要指定的表。 Netfilter实现 Netfilter主要通过表、链实现规则，可以这么说，Netfilter是表的容器，表是链的容器，链是规则的容器，最终形成对数据报处理规则的实现。 Netfilter实现 对于收到的每个数据包，都从“A”点进来，经过路由判决，如果