netfilter，netfilter修改数据（jar netfilter）

什么是Netfilter

一般来说，netfilter的架构是在整个网络进程的几个位置放置一些钩子，在每个钩子上注册一些处理功能进行处理(比如包过滤、NAT等。甚至用户可以自定义脱袜子的功能)。netfilter[1]IP层五个钩子点的位置如下图[1]:NF_IP_PRE_ROUTING:刚进入网络层的数据包经过这个点(版本号、校验和等测试刚完成)，在这个点进行目的地址翻译；[2] 3360nf _ IP _ local _ in:路由查找后，发送到本地机器的数据包经过这个检查点，输入的数据包在这个点被过滤；[3] 3360NF _ IP _ FORWARD:待转发的数据包经过这个检测点，在这个点进行转发包过滤；[4]:NF_IP_POST_ROUTING:所有即将通过网络设备出去的数据包都经过这个检测点，在这个点上执行内置的snat功能(包括地址伪装)；[5] 3360nf _ ip _ local _ out:原生进程发送的数据包经过这个检测点，在这个点进行输出包过滤。在IP层代码中，有一些语句带有NF_HOOK宏，比如IP的转发函数：如果编译内核时没有配置netfilter，相当于调用了最后一个参数，这种情况下执行ip_forward_finish函数；否则进入钩子点，执行nf_register_hook()注册的trip触发函数(这句话可能比较含糊，但实际上是进入了nf_hook_slow()函数，然后执行注册的函数)。

如何使用netfilter/iptables构建防火墙

对于互联网上的系统，无论什么情况，都应该明确网络不安全。所以，创建防火墙虽然不能保证系统100%的安全，但是绝对有必要。Linux提供了一个优秀的防火墙工具——netfilter/iptables。它完全免费，功能强大，灵活，可以详细控制信息的流入和流出，可以在低配置的机器上运行良好。本文将简要介绍netfilter/iptables在防火墙架设和互联网连接共享中的应用。netfilter/iptabels应用程序被认为是Linux中实现包过滤的第四代应用程序。Netfilter/iptables是2.4以后才包含在内核中的，可以实现防火墙、NAT(网络地址转换)、包分段。Netfilter在内核内部工作，而iptables是一个表结构，允许用户定义规则集。Netfilter/iptables由ipchains和ipwadfm(IP防火墙管理)演化而来，功能更强大。在下文中，netfilter/iptab统称为iptables。Iptables可用于为Unix、Linux和BSD个人工作站创建防火墙，或为子网创建防火墙以保护其他系统平台。Iptales只读取数据的头部，不会给信息流增加负担，也不需要验证。为了获得更好的安全性，您可以将其与代理服务器(如squid)结合使用。基本概念典型的防火墙配有两个网卡：一个传入，一个传出。Iptables读取传入和传出数据包的报头，将它们与Ruleset进行比较，将可接受的数据包从一个网卡转发到另一个网卡，并根据定义的方式丢弃拒绝的数据包或对其进行处理。规则通过向防火墙提供关于如何处理来自某个源地址、发往某个目的地或具有特定协议类型的数据包的指令来控制数据包的过滤。这些规则通过使用iptables系统提供的特殊命令iptables来建立，并添加到内核空间特定包过滤表中的链中。用于添加、移除和编辑规则的命令的一般语法如下：iptables [-t table]命令[match] [target] 1。table)[-t table]]选项允许您使用除标准表以外的任何表。Table是一个包过滤表，它包含只处理特定类型数据包的规则和链。有三个可用的表选项：过滤器，nat和mangle。该选项不是必需的。如果未指定，filter将是默认表。每个表实现的功能如表1所示。表1三个表的功能。command)命令部分是iptables命令最重要的部分。它告诉iptables命令要做什么，比如插入一个规则，将一个规则添加到链的末尾，或者删除一个规则。表2是最常用的命令和例子。3.match)iptables命令的可选匹配部分指定了特征(如源地址、目的地址、协议等。)数据包必须符合规则。匹配可分为一般匹配和特定协议匹配。这里，将介绍可以在任何协议中使用的分组的一般匹配。表3显示了一些重要且常用的通用匹配和示例。4.目标目标是由规则指定的操作，这些操作在匹配这些规则的数据包上执行。除了允许用户定义目标之外，还有许多可用的目标选项。表4显示了一些常见的目标和示例。除了表4之外，还有许多其他目标用于建立高级规则，如日志、重定向、标记、镜像和伪装。

如何编译新添加的netfilter功能模块

所以实现netfilter(iptables)要从两个方面入手：1)内核是否支持netfilter；2)用户层的iptables配置命令。1.编译内核，支持netfilter进入主机上的Linux内核残基匹配目录，配置需要的内核模块：cd/usr/SRC/linuxmakemenuconfig。选择以下选项