一个简单防火墙的例子 SIPFW

防火墙SIPFW是Simple IP FireWall 的简称，可以实现用户配置、防火墙规则的增加删除、网络信息记录等功能。主要包括以下内容:

• SIPFW 防火墙的需求内容分析，包含SIPFW的功能描述，对防火墙的功能进行比较详细的描述，这是之后需求分析、模块设计、模块实现的基础;
• SIPFW 防火墙的模块设计，包含过滤、用户空间和内核空间的交互方法、规则的表达和操作方法、SIPFW 的 PROC虚拟文件系统、配置文件和日志文件的处理方法;
• SIPFW防火墙的具体实现代码，主要对各部分的核心代码进行介绍。

SIPFW防火墙的功能描述

SIPFW防火墙，即Simple IP FireWall，为一个简单的Linux平台上的网络防火墙，利用Linux 内核的netfilter模块，对从本主机进出的网络数据进行过滤，并可以通过用户界面进行交互，并通过防火墙的数据进行记录。主要包含如下功能:

• 对进出主机的网络数据进行过滤。
• 用户与防火墙之间的交互，设置过滤规则，过滤规则的记录和读取。
• 过滤日志分析。

SIPFW报文过滤功能描述

防火墙的功能主要是对发送到本地和从本地发出的网络数据进行拦截工作，防火墙的拦截功能定义是指防火墙对什么网络数据进行过滤、怎样进行过滤。防火墙SIPFW可以对网络数据进行过滤，过滤规则如下:

• 可以分为丢弃、通过;
  • 丢弃:对符合规则的网络数据，网络协议栈不进行处理，SIPFW 防火墙直接将进入和发出的网络数据销毁。
  • 通过:对符合规则的网络数据，可以通过SIPFW防火墙，防火墙不对此数据进行处理，由网络协议栈和应用层进行处理。
• 可以按照网卡进行过滤，针对某个网卡设置过滤规则;
  • 按照网卡进行过滤:防火墙可以根据用户设置规则制定的网络设备进行过滤，没有指定的网络设备，过滤规则对其无效。例如通过网络设备eth0的网络数据丢弃，则通过eth1网卡的数据正常进行。
• 可以按照IP地址和端口进行过滤;
  • 按照P和端口进行过滤:用户指定过滤规则的IP地址和端口范围，在此范围之内的进行过滤，不在此范围的不满足此条过滤规则。
• 可以按照协议进行过滤，可以过滤的协议为TCP、UDP、ICMP和IGMP。
  • 按照协议进行过滤:用户设定过滤规则时，可以指定协议，此时，用户设定的过滤规则仅仅对指定的协议有效，其他协议无效。支持的协议包含IGMP、ICMP、UDP和 TCP。

SIPFW用户设置过滤规则功能描述

防火墙能够与用户进行交互是防火墙的基本功能，用户可以使用防火墙的用户接口对防火墙的规则进行一些操作。SIPFW用户可以通过命令行方式进行防火墙规则的设置、删除、规则的显示等。其具体含义如下:

• 规则设置:用户按照命令行的格式增加防火墙规则，用户设置的合法规则需要立即生效。
• 规则删除:用户可以根据规则列表中的序号等方式对防火墙目前的规则进行删除。
• 规则的显示:用户可以列出防火墙目前的规则。

SIPFW配置文件等附加功能描述

防火墙除了核心的功能外，一些附加的功能也是必须的。例如，防火墙启动时的配置选项、对通过防火墙的网络数据的过滤情况进行信息记录等。

SIPFW防火墙可以根据用户设置的配置文件对基本的用户设置进行读取，例如默认的防火墙动作、日志文件的记录路径。

SIPFW防火墙需要建立基本的系统信息获取方法，使用PROC虚拟文件系统，向用户反应基本的系统设置情况，并可以通过简单的设置对防火墙进行基本的配置，例如默认规则、防火墙的失效等。

SIPFW防火墙可以对符合用户设置规则的网络数据进行记录，方便用户查看，即可以进行日志记录，需要保存到文件中。

SIPFW 需求分析

要能够完成所定义功能的SIPFW防火墙，需要对防火墙的多个部分的需求定义进行明确，包括防火墙规则的条件、防火墙的动作、防火墙过滤网络数据的类型和内容、防火墙链和链的处理、防火墙的配置文件格式、防火墙的命令配置格式、防火墙的规则定义格式、防火墙的日志文件格式，以及如何选择实现方案。本节对需求进行初步的分析和明确。

SIPFW防火墙条件和动作

防火墙的核心构成是由条件和动作组成的。当网络数据满足某些条件的时候则执行对应的动作。

条件即网络数据所承载的信息，例如来源主机的P地址和端口地址、目的主机的IP地址和目的地址、网络数据中所采用的协议类型，此外还包含网络协议所处的阶段，例如TCP协议的三次握手连接阶段、四次握手断开阶段，ICMP中的类型和代码等。

动作即对网络数据的处理方式。例如通常所采用的接受、丢弃、转发等。

• 在SIPFW中接受动作用ACCEPT表示，当满足条件的网络数据到来的时候，防火墙会让网络数据通过，不对其进行处理，具体的处理过程由应用程序进行。
• 丢弃动作通常用DROP表示，当满足条件的网络数据到来的时候，防火墙将会将网络数据丢弃，防火墙之后的网络协议栈不会进行处理，应用层不能得到网络数据的任何信息。
• 转发动作通常用FORWARD表示，当满足条件的网络数据到来时，防火墙会将到来的网络数据按照定义的规则进行转发，即把数据发送给另一个主机。

如图20.1所示为-一个简单的例子，从网络上过来的数据会按照条件——动作的方式通过防火墙SIPFW。当满足接受条件的时候，执行接受的动作，网络数据直接通过防火墙，由网络协议栈处理数据。而当网络数据满足丢弃条件的时候，防火墙会将数据丢弃，网络数据不会经过防火墙。当网络数据满足转发条件的时候，SIPFW防火墙会将网络数据进行转发，条件中指定的另一个主机将会接收网络数据并进行处理。

SIPFW支持过滤的类型和内容

一般的防火墙均提供过滤基于多种方式构建过滤规则的能力，防火墙根据定义的各种不同的规则进行网络数据的过滤。防火墙SIPFW也提供类似的功能，例如可以无条件过滤、根据IP地址过滤、根据协议类型过滤，根据协议类型的可识别码或者阶段过滤。

1. 无条件过滤
   即防火墙默认的过滤规则，当没有任何过滤规则指定的时候，防火墙提供一个基本的过滤规则案。SIPFW防火墙的默认规则为DROP，即当没有指定任何规则的时候，将丢弃任何网络数据。
   用户可以在此规则的基础上构建自己的规则，当用户定义规则之后，满足用户规则的网络数据，将执行用户所定义的规则处理方式，如果不满足用户定义的规则，会执行默认的过滤规则。其实可以定义一个全部ACCEPT 的规则来覆盖默认规则，将所有的网络数据都接受，而不是默认地丢弃。
   如图20.2所示，其中的场景1为用户没有设置防火墙的情况，所有由主机H发送到带有防火墙 SIPFW的主机时，其网络数据均被丢弃。
2. 按照IP地址进行过滤。
   SIPFW防火墙可以按照主机的P地址进行过滤，只有满足规则中设置的P地址的主机才能进行规定的工作。IP地址分为源主机IP地址和目的主机IP地址，源主机P地址指的是发送网络数据主机的IP地址，目的主机IP地址指的是接受数据主机IP地址。
   还有一种全IP地址条件，即0，表示所有的主机P地址，在过滤规则中设置的条件为“源0，目的192.168.1.1”，即网络数据的发送方为任意的主机P、接收方为192.168.1.1。
3. 根据协议类型过滤
   SIPFW防火墙可以根据设置的网络协议类型进行过滤，即只有为某个协议的网络数据才能执行相应的动作。SIPFW所能识别的协议为TCP、UDP、ICMP 和 IGMP，当某个协议不能识别的时候，会忽略协议的部分，按照无协议指定的规则进行过滤条件判定。例如某个协议为ARP协议，防火墙不能识别此协议，则会查找过滤规则中的无协议规则，例如仅指定IP地址的规则。
   当协议类型规则没有指定IP地址的时候，过滤条件为所有的IP地址，即IP地址为0。当协议类型和IP地址均进行了设置，则全部满足IP过滤条件和协议类型过滤条件的网络数据才能执行相应的动作。
4. 根据协议的阶段进行过滤
   SIPFW防火墙可以根据TCP网络协议的某个阶段进行过滤，例如TCP 的SYN阶段和FIN阶段。为了能够有效地拦截一个TCP连接，可以将服务器上SIPFW防火墙的过滤条件设置为TCP协议的SYN阶段，即在客户端发送SYN字段的时候就进行过滤，使得服务器端的网络协议栈接收不到SYN数据，这样就不会对其他数据造成影响，例如客户端的其他TCP连接。
5. 协议的类型和代码
   SIPFW防火墙可以根据ICMP和IGMP协议的代码和类型进行过滤。ICMP协议和IGMP协议有很多类型和代码，并且其功能比较重要，如果不区分具体的类型和代码而全部进行过滤，将会造成很大的麻烦。
   例如为了阻止别的主机对本机进行的ping操作，而将所有的ICMP进行拦截，将会将“主机不可达”等有用的信息屏蔽掉，使得网络协议很不完整。

SIPFW 防火墙过滤的方式和动作

防火墙的过滤方式是防火墙设计的重要部分，本节对SIPFW的过滤方式进行介绍，主要包括防火墙的3个链、防火墙的规则增加所引起的规则优先级变化等需求的定义。

SIPFW防火墙分为3个链，INPUT、OUTPUT和 FORWARD。3个链的含义和处理方式如下:

• INPUT是防火墙的输入链，即进入主机的网络数据都会经过防火墙的这个链，在这个链上查找可以匹配的规则，并按照规则制定的方式进行处理。
• OUTPUT是防火墙的输出链，即从主机发出的网络数据都会经过防火墙的这个链，可以将对从主机发出的网络数据过滤规则放到这个链上，由这个链进行命中规则查找，当命中的时候，在这个链上对网络数据按照定义的动作进行处理。
• FORWARD为防火墙的转发链，即主机进行转发的数据都会经过转发链，如果需要对转发的网络数据进行过滤，将规则放到FORWARD链上。

防火墙的3个链由各种规则组成，其中的规则构成为链表结构。当进行过滤规则命中判定的时候，需要遍历整个链表结构。如果规则命中则停止对链表中规则的遍历。
链表结构隐含了一个规则，因为遍历链表的时候，只要找到一个规则就停止遍历，所以前面规则的优先级要高于后面的规则。SIPFW防火墙为了强调用户的动作，将用户新加入的规则放到链的最前面，这样查找规则的时候就会先找到用户新加入的规则。即用户新加入的规则的优先级总是最高的优先级。

SIPFW防火墙的配置文件

SIPFW防火墙在防火墙启动的时候需要读取防火墙的基本配置，例如默认配置规则、规则配置文件的路径、日志文件的路径等信息，用于初始化防火墙的配置。
SIPFW 防火墙配置文件的路径为/etc/sipfw.conf，配置文件的格式如下:

[# | 关键字 = 值 ]

配置文件的一行文字为注释行或者为配置行。当一行的第一个字符为#的时候，表示本行为注释，SIPFW防火墙将忽略本行的配置信息，不继续进行解析。
配置行的格式为关键字 = 值，其中关键字为配置的指示，表示配置行的含义;值为配置行指示配置选项是什么。配置文件的选项即关键字有如下几个:

• DefaultAction:默认动作，即防火墙没有设置规则时对网络数据的处理方式，可以为ACCEPT或者DROP两种之一。如果没有配置此项，默认值为DROP，即会将所有的网络数据丢弃掉。

• RulesFile:防火墙规则配置文件的路径，防火墙将从此文件中读取防火墙的配置规则。如果此项没有进行配置，将从文件/etc/sipfw.rules文件中读取防火墙配置规则。

• LogFile:防火墙日志文件的路径，防火墙将把过滤规则的命中情况放到这个文件中。如果此项没有进行配置，将向文件/etc/sipfw.log中写入命中情况。

  注意:如果防火墙配置文件/etc/sipfw.conf不存在，将会建立一个/etc/sipfw.conf文件，并将上述默认的配置信息写入文件。

SIPFW防火墙命令行配置格式

防火墙的命令行配置是用户设置防火墙的基本方法。例如iptables防火墙可以通过命令行进行规则的增加、删除、保存、恢复、列表、清空等操作。与 iptables防火墙的功能相似，sipfw防火墙也可以进行命令行参数配置操作，包括增加规则、删除规则等操作。对于防火墙规则的读取和保存，是一种隐式的操作，即sipfw在进行防火墙规则设置、删除的时候会动态地写入硬盘，所以不需要显式进行防火墙规则的读取和保存操作。
将sipfw防火墙的命令行配置的命令格式定义如下:

sipfw --chain chain --action act --source from[-to] --dest from[-to] -sport from[-to] --dport from[-to] --protocol protocol --interface ifacename

配置选项的含义为:

• --chain chain: --chain为操作的选项，后面的chain为选项的值。操作的链，即操作所生效的链的名称，将要把此规则动作添加到指定的链上，链分为3个，INPUT、OUTPUT 和 FORWARD。其中 INPUT 链用于处理从外部进行本地的网络数据;OUTPUT 链用于处理本地主机发送出的网络数据;FORWARD链用于处理经由本地转发的网络数据。
• --action act: --action为操作的选项，后面的act为选项的值。规则定义的动作，符合规则定义的网络数据将按照给定的act动作来操作。有ACCEPT、DROP。其中ACCEPT动作会接收符合规则定义的网络数据;DROP动作会丢弃符合规则定义的网络数据。
• --source from[-to]:–source为操作的选项，后面的 from 和 to 为选项的值。规则定义所制定的网络数据来源主机的P地址，其中 from为点分四段式的IP地址，例如192.168.1.100。要表示一个地址范围，即多个主机地址中间需要使用“,”隔开，如“192.168.1.100,192.168.1.202,192.168.1.254”表示3个主机。如果需要表示一个连续的主机地址段需要用“-”隔开，例如“192.168.1.1-192.168.1.254”表示从主机 192.168.1.1到主机192.168.1.254共254个主机地址都放入规则。当来源的P地址设置为0的时候，表示所有的来源主机均在此规则涵盖范围内。
• --dest from[-to]:–dest为操作的选项，后面的 from 和 to 为选项的值。规则所定义的网络数据的目的IP地址，目的IP地址中的from等选项的含义与源地址中的含义相同。
• --sport from[-to]: --sport 为操作的选项，后面的 from 和 to为选项的值。表示规则所定义的网络数据来源主机的端口地址。其中 from为十进制表示的端口地址，例如“–sport 8080”表示源主机的端口地址为8080。要表示多个源端口范围，中间需要使用“,”隔开，例如“–sport 80,110”表示源端口 80 和110。当需要表示一段端口地址的时候要有“-”将起始端口和结束端口连起来，例如“–sport 80-100”表示从端口80到端口100之间的所有端口。当来源端口只设置为0的时候，表示所有的来源端口，均在此规则涵盖范围内。
• --dport from[-to]: --dport为操作的选项，后面的 from 和 to为选项的值。表示规则所定义的网络数据目的地址的端口，其中from 和 to 的含义与–sport中的含义相同。
• --protocol protocol:–protocol为操作的选项，后面的protocol为选项的值。表示规则定义所指的协议类型，可以支持TCP、UDP、ICMP和 IGMP。当值为0的时候表示支持所有上述4种协议类型。
• --interface ifacename:–interface为操作的网络接口，后面的 ifacename 为网络接口的名称。表示规则定义所绑定的网络接口，目前仅仅支持以太网的接口，例如回环接口 lo，以太网接口eth0等。选项值ifacename的值与ifconfig所列出的网络接口的名称一致，可以为 lo、eth0或者 wlan0等，当没有指定此项的时候，将对所有的网络接口都适用此规则。
• --delete:此项操作不带参数，将删除指定规则。所删除规则有其他选项设置，删除的选项必须与之前增加的选项完全一致才发生删除动作。
• --flush:此项操作不带任何其他参数，将清空SIPFW防火墙中的所有过滤规则，此后如果马上有网络数据到达，将会按照默认的规则进行处理，即丢弃掉全部到来的网络数据。
• --list:此项操作列出指定链上的过滤规则设置情况。操作方式为“–list chain”其中的chain可以为输入（INPUT)、输出（OUTPUT)和转发（FORWARD)。当不带参数的时候，将需要列出所有链上的规则设置情况，即列出输入、输出和转发3个链的规则。

SIPFW防火墙的规则文件格式

防火墙sipfw规则配置文件用于保存防火墙过滤规则的配置情况。在防火墙启动的时候，从配置文件中读取防火墙配置参数，生成防火墙的配置规则。当用户对防火墙的配置规则进行了修改之后，防火墙配置文件的记录将进行实时更新。
防火墙配置文件的默认路径为letc/sipfw.rules，防火墙启动的时候，将从配置文件中读取规则文件的数据。如果默认路径下没有规则配置文集，防火墙将创建一个，并将配置的规则在此处进行更新。
防火墙配置文件的格式和其他配置文件的规则基本一致。防火墙配置文件由多行组成，每行一条规则，规则不能换行。防火墙配置文件采用严格的解析方式，在各个条件的中间没有多余的空格。每行配置规则的格式如下:

[#|目标链 动作 源IP 源端口 目的IP 目的端口 协议类型 网络接口]

每一行的规则由关键字目标链、动作、源IP、源端口、目的IP、目的端口和协议类型组成，在各关键字之间由一个空格隔开，不能有多余的空格。在每行的开头和结尾均不支持空格，每行的结尾为“\n”或者“\rln”，最后一行可以没有换行符，直接为“协议类型”结束。

#confuration file for firewall SIPFW
INPUT DROP 192.168.1.100 0 0 0 icmp eth0
OUTPUT DROP 0 0 192.168.1.88 23 tcp

规则的含义为第1行为一个注释行，解析的时候将忽略此行的含义。

第2行表示所有经过网络接口eth0从主机192.168.1.100发送的ICMP 协议包网络数据在进入本机的时候均丢弃。

第3行表示从本机发送到主机192.168.1.88目的端口为23的TCP协议均丢弃。

配置文件每行规则的含义如下:

• #:此关键字表示此行为注释行，进行规则解析的时候，将忽略此行规则所定义的内容。关键字#必须位于一行的第一个字符。
• 目标链:此关键字为当前行规则所操作的链，即操作所生效的链的名称，将要把此规则动作到指定的链上，链分为3个，INPUT、OUTPUT和FORWARD。
• 动作:此关键字为当前行规则的动作，符合规则定义的网络数据将按照给定的act动作来操作。有ACCEPT、DROP。
• 源IP:此关键字表示当前行规则定义中网络数据的主机IP地址范围。格式为[[from][,to1,to2...l-to]]，分为3种情况:第1种为仅包含from，表示源P地址为单个的主机I地址，from为点分四段式的IP地址，例如“192.168.1.100”;第2种为包含多个不连续的源主机P地址，多个主机地址中间需要使用“,”隔开，例如字符串“192.168.1.100,192.168.1.202,192.168.1.254”表示3个主机;第3种为包含连续的源主机IP地址，在开始IP地址和结束IP地址之间需要用“-”隔开，例如“192.168.1.1-192.168.1.254”表示从主机 192.168.1.1到主机192.168.1.254共254个主机地址都放入规则。当来源的P地址设置为0的时候，表示所有的来源主机均在此规则涵盖范围内。
• 源端口:此关键字表示当前行规则定义中发送网络数据的主机端口地址。格式为[[from][,to1,to2...l-to]]，分为3种情况:第1种为仅包含from，表示源端口地址为单个的主机的端口地址，from为单一的端口地址，例如80表示源主机的端口地址为80;第2种为包含多个不连续的源主机端口地址，多个主机端口地址之间间需要使用“,”隔开，例如字符串“80,110,23”表示某主机的3个端口地址;第3种为包含连续的源主机端口地址，在开始端口地址和结束端口地址之间需要用“-”隔开，例如“80-8080”表示从主机端口80 到主机端口地址8080共8001个主机端口地址都放入规则。当来源的端口地址设置为0的时候，表示来源主机所有的端口地址均在此规则涵盖范围内。
• 目的P:此关键字表示当前行规则定义中的接收网络数据的主机IP地址。目的IP的格式与“源IP”项一致，都为[[from][,to1,to2.. .l-to]]。
• 目的端口:此关键字表示当前行规则定义中的接收网络数据的主机端口地址。目的端口地址的格式定义与“源端口”项-致，都为[[from][,to1,to2...l-to]]。
• 协议类型:此关键字表示当前行规则定义中网络数据的协议类型，可以支持TCP、UDP、ICMP 和 IGMP 协议类型。
• 网络接口:规则所指定的网络设备接口，含义与命令行配置的ifacename一致。例如有如下的一个配置文件位于“/etc/sipfw.rules”，定义了如下几条规则:

SIPFW防火墙的日志文件数据格式

防火墙日志文件记录防火墙规则的命中情况，规则为用户定义的规则，不包含默认规则的命中情况，主要是因为默认规则的命中比较多，会造成日志文件的无限增大。
防火墙日志文件的路径将从防火墙配置文件中读取，如果配置文件中没有配置此项,将从路径/etc/sipfw.log的文件中读取，并将命中规则写入此文件中。
日志文件的一行为注释或者命中规则，防火墙日志文件的格式如下:

【#|时间 from 源IP:源端口 to 目的IP:目的端口 协议类型 动作】

当一行的开头为#的时候表示为注释，否则此行为防火墙的命中规则。命中规则的含义为“在什么时间从源地址:源地址端口 到 目的P地址:目的地址端口 的 某种协议，防火墙对其的处理方式”。其中的含义与前面规则定义文件中的含义一致。

SIPFW防火墙构建所采用的技术方案

防火墙的设计除了规则之外，技术框架的选取十分关键。在 Linux操作系统上，有一个成功的网络数据过滤框架，这就是netfilter，并有基于netfilter 的防火墙iptables。

1. SIPFW防火墙的内核过滤架构的选择
   SIPFW防火墙也是采用netfilter 的5个钩子实现。SIPFW防火墙选取netfilter 中5个钩子中的3个作为实现防火墙网络数据截取的基础:NF_IP_LOCAL_IN、NF_IP_LOCAL_OUT和 NF_IP_FORWARD，分别对应于防火墙的 INPUT、OUTPUT和FORWARD链。
2. SIPFW防火墙的用户空间和内核空间的通信方式
   上述的内容是防火墙的内核层实现技术架构，而防火墙要能与用户交互，必须有一种合适用户空间和内核空间交互的方式。在 Linux 中内核空间和用户空间进行交互的方法主要有ioctl()方法、sysctl()方法，以及网络的方法、PROC方法、文件读写的方法等。早期的 iptables框架采用了网络框架中的setsockopt()/getsockopt()的方法来实现用户空间与内核空间的通信，现在iptables的通信框架采用了netlink()方法。
   SIPFW防火墙采用netlink框架和 proc编程的方法实现用户空间和内核空间的通信。netlink 的概念和proc 的概念在后面有介绍，这里介绍两种方法在SIPFW中使用的侧重点。
   netlink框架用于实现用户命令行的交互，即用户的命令行交互使用netlink 来实现，将用户的命令设置发送到内核，并将内核的响应数据发送给用户。
   Proc框架用于提供用户对netlink基本情况的简单信息，例如默认动作、防火墙的有效和失效配置、过滤规则命中的简单情况等。
3. SIPFW防火墙文件的内核操作
   SIPFW防火墙的文件操作涉及配置文件的读、写、建立，规则文件的读、写、建立，日志文件建立、写等操作。SIPFW的主要动作都集中在内核空间，即文件的操作要使用内核空间的文件函数，内核空间的文件操作函数与用户空间的操作函数不同，在后面会进行简单介绍。

使用netlink 进行用户空间和内核空间数据交互

Linux支持很多的高级网络特性，例如防火墙、队列质量QoS、类别和过滤、通路状态、netlink套接字等。netlink用于在用户空间和内核空间传递数据，它提供了内核/用户空间的双向通信方法。第一部分概要介绍netlink 套接字的用户空间建立和使用。第二部分介绍如何在内核中进行netlink的程序设计，及网络数据如何在内核中进行处理。

netlink的用户空间程序设计