免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
最近访问板块 发新帖
查看: 1057 | 回复: 4

[系统管理] netfilter运行在哪个地方 [复制链接]

论坛徽章:
4
2015年辞旧岁徽章
日期:2015-03-03 16:54:15数据库技术版块每日发帖之星
日期:2016-02-26 06:20:00IT运维版块每日发帖之星
日期:2016-07-13 06:20:002016科比退役纪念章
日期:2016-07-31 11:28:35
发表于 2016-08-31 21:38 |显示全部楼层
[root@localhost ~]# iptables -L -nv
Chain INPUT (policy ACCEPT 2 packets, 156 bytes)
pkts bytes target     prot opt in     out     source               destination         
  909 62879 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0          tcp dpt:22

Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy DROP 2 packets, 140 bytes)
pkts bytes target     prot opt in     out     source               destination         
   34  4781 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:22
[root@localhost ~]#
个人理解iptables只是一个工具,用来设置netfilter,ssh运行在用户空间,netfilter在内核空间,访问用户空间首先到达内核空间,这样crt访问linux的ssh时候先通过INPUT dport22 然后到达ssh空间,之后ssh通过sport22 返回到crt。
一,应用在哪个空间,netfilter工作的空间,
二,如何区分核实在INPUT OUTPUT FORWARD链上做设置
三,个人理解netfilter就像两个大门的碉堡,默认都是打开的也就是谁都可以进去,这时只配置dpt22 就相当于碉堡放进去了一只狗,这只狗就看dpt22这个链,如果来了一个22就看看是否满足这个条件,不满足就拒绝,别的不管,为什么不是把大门关了 默认的给拒绝了,然后拿钥匙去开门呢,就像这个OUTPUT,所有出去的都拒绝,但是有spt22这个钥匙的就过的去

论坛徽章:
1
IT运维版块每日发帖之星
日期:2016-01-13 06:20:00
发表于 2016-09-10 23:13 |显示全部楼层
你都说了netfilter在内核啦,就是工作在内核空间咯 。
        linux 2.4:iptables/netfilter
                hook function:钩子函数。5个钩子。prerouting,input,output,forword,postrouting
                                对应规则链:prerouting,input,forword,output,postrouting.
                        filter(过滤):
                                input
                                output
                                forword
                        nat
                                prerouting
                                postrouting
                        mangle(拆开,修改,再封装)
                                prerouting
                                input
                                output
                                forword
                                postrouting
                        raw(原始表)
                                prerouting
                                output

论坛徽章:
4
2015年辞旧岁徽章
日期:2015-03-03 16:54:15数据库技术版块每日发帖之星
日期:2016-02-26 06:20:00IT运维版块每日发帖之星
日期:2016-07-13 06:20:002016科比退役纪念章
日期:2016-07-31 11:28:35
发表于 2016-09-20 22:59 |显示全部楼层
回复 2# eloony个人不太理解这个用户空间 应用在哪个空间,内核在哪个空间运行,就像web访问服务器的时候,如何请求的,一层一层的,如果了解这个那对于理解iptables很好了


论坛徽章:
1
IT运维版块每日发帖之星
日期:2016-01-13 06:20:00
发表于 2016-10-01 07:09 |显示全部楼层
回复 3# laoadiy

http分层里面要是往深里面研究你估计也要晕菜吧,请求过来,到网卡里面,就是网络内核,读取文件,需要用到文件系统的内核,等等。http已经把很多东西给你抽象了。。。
具体到这个,我不敢说内核空间和用户空间有什么异同。只是简单的说。用户空间在内核之上,需要的时候,调用内核来完成一些特权的命令。在iptables里面则是,通过用户空间设置内核空间的参数,来控制其运行。。。

论坛徽章:
1
IT运维版块每日发帖之星
日期:2016-01-13 06:20:00
发表于 2016-10-01 07:25 |显示全部楼层
未命名图片.png
至于说流程,这个图基本上描述了,分为两个方向:本机处理,和直接转发。
本机处理:经过prerouting 然后到input outpu然后到postrouting
直接forward:就是经过perouting forward postrouting.
具体到raw,mangle,filter,nat则表示这几个功能可以应用在那个钩子上或者叫哪个部分。

您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

  

北京盛拓优讯信息技术有限公司. 版权所有 京ICP备16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122 niuxiaotong@pcpop.com 17352615567
未成年举报专区
中国互联网协会会员  联系我们:huangweiwei@itpub.net
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP