【iptables交流贴】iptables执行的流程分析

EricChamsantall

前辈，我最近在做linux防火墙之类的产品，由于我们在使用 iptables 进行网络封堵时效率不高，内存使用率很高，领导说要我们自己做一套类似iptabes的程序，轻量级的iptables，苦恼啊，，iptables 那么多代码，我还不知道Iptables是如何维护内核中的链表呢。。。请您赐教啊，多谢啊。

Godbach

回复 181# EricChamsantall

那就看下 iptables 的实现啊，了解下 iptables 的用户态和内核态。

本版置顶的精华帖中有分类的，你看看吧。


   

EricChamsantall

好的，都在你的博客里吗？

Godbach

回复 183# EricChamsantall

内核版置顶的精华帖。


   

EricChamsantall

回复 184# Godbach

filter nat 和 mangle 这些链表是什么时候创建的啊，iptables 添加规则是往这些表里添加的吗？ 内核我看过，但是搞不懂什么时候创建这些表，是iptables 直接操作这些表还是通过内核来操作这些表。。。。。


   

nswcfd

每个表对应一个模块，iptable_xxx.ko，比如iptable_mangle.ko，iptable_filter.ko，iptale_nat.ko。

这些模块负责为规则（以及各种链）提供存储空间，并且在适当的hook点去遍历并执行链+规则。初始化的时候是空表，默认是允许策略。iptales用户态工具通过各种user<->kernel通讯接口来更新规则。

老版本的iptables用户态不支持内核态的增量更新，也就是说，更新规则的时候，得先把所有的规则先从kernel加载到用户态，然后在用户态重新组织规则，最后再一次性提交到内核（也就是说，是Load+Modify+Save的过程），最后在kernel内部进行规则表的整体替换。
所以，从代码上看，用户态和内核态都有管理规则的code。理解代码的关键是理解规则的内存布局，如何在一片连续内存里定位每个规则的起始和结束，match/target分别在哪里等等。

好了，剩下的内容精华区里都有，就不赘述了。

电子学习员

版主老师，我在c代码中直接使用iptc_append_entry和iptc_commit等接口是否可行？我查看iptables源码并未发现iptc_append_entry和iptc_commit等函数的实现，他们是动态库吗？

电子学习员

#include <libiptc/libiptc.h> 包含这个头文件后，是否可以使用像iptc_append_entry和iptc_commit等接口呢？

Godbach

回复 187# 电子学习员

代码中有一堆的宏替换。

你为什么需要调用 iptc_commit 啊


   

电子学习员

是这样，现在做的一个android项目，需要配置iptables，但是selinux策略不允许使用system或exec去调用iptables命令，我只能使用iptables的接口去实现配置，但是还没找到使用的方法。。。回复 189# Godbach