论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2008-08-13 14:34 |只看该作者 |倒序浏览

linux simple personal firewall 邀您加入

lspf的目的是一个简单的防火墙，不同于已有的很多NetFilter的防火墙，它的目的是提供一个类似天网等防火墙的基于对应用授权访问网络的防火墙。
它可以与iptables共存。

对于它的其它相关介绍，可以参看项目的Wiki
http://code.google.com/p/lspf/w/list

该项目目前还处于预研、设计阶段。

如果你：
对开源事业有热情；
想通过内核相关的实际开发经验学习内核；
持之以恒。

那么，请加入我们。

欢迎大家在Wiki上对我们的项目提出宝贵意见

文库|博客

Godbach

版主

论坛徽章:: 36

2楼 [报告]

发表于 2008-08-13 14:40 |只看该作者

请教一下他和iptables的异同，以及是否基于Netfilter开发

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

Godbach

版主

论坛徽章:: 36

3楼 [报告]

发表于 2008-08-13 14:46 |只看该作者

刚刚看了一下。感觉不错。当然iptables也可以做相应的配置啊，配置数据包OUT的规则。

不过LZ的方式，可能对用户来说有一个交互的过程。

但是，真正使用Linux的很多人，X-window并不一定用的很多，因为都是做开发用的。有个控制台也可以工作了。

[ 本帖最后由 Godbach 于 2008-8-13 14:50 编辑 ]

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

鼠标左键

白手起家

论坛徽章:: 0

4楼 [报告]

发表于 2008-08-13 14:47 |只看该作者

原帖由 Godbach 于 2008-8-13 14:40 发表
请教一下他和iptables的异同，以及是否基于Netfilter开发

简单的说，netfilter是基于包过滤的，对于符合过滤条件的包无论是谁产生的，都采取规则中结果进行处理。
而这个防火墙是基于对应用授权的，即（比方说）可以让MSN访问网络，而不允许QQ

Introduction
简单，易用
Unix系统上最常见的防火墙都是基于netfilter的，这种防火墙对于用户来说不够友好，而且，它很大成对上是“防外不防内”的。而WindowsXP SP2之后所自带的防火墙除了可以进行端口过滤外，用户用的最多最方便的，就是当一个应用请求访问网络时会让用户选择该访问是否允许。

工作原理简述
首先，类似netfilter，先在网络相关的代码出下钩子，当用户访问网络时，首先经过我们的钩子
当钩子被触发时，释放一个（虚拟的）按键消息 input_report_key()
操作系统层通过scancode,keycode,keymap等的转换，最终通过keybind(X环境)或者inputrc（BASH）获得和用户的交互，提示用户有程序请求访问网络，要求用户做出相应选择。
用户层的守护进程（或别的控制工具，可以是第三方独立设计的工具）通过读configfs或者 /proc 文件系统的对应节点获得当前请求访问网络的进程PID，然后通过该PID获得该进程的相关信息，请求用户确认
将用户反馈的结果通过configfs反馈回内核

优点
内核层和用户层完全分开
hotkey的形式给上层应用的设计带来了方便

不足及改进
首先，当前的设计方式不能做到阻塞网络访问，即当用户访问网络后，如果用户没有对该访问进行授权，则只能对其进行默认的处理。这种方式在用户体验上并不好
下一步可以考虑当用户访问网络时进行阻塞的设计