关于iptables内核match模块的问题

ukyo111

我有一个需求，希望能创建一个iptables的内核match模块，该模块与用户空间共享内存，获取要match的IP地址列表，再决定是否match到数据包。用户空间程序可以对IP地址列表进行修改。

我的想法是用access_process_vm访问用户空间的内存，使用read-copy-update方法实现互斥。内核模块首先读一个数组的指针，再通过该指针访问数组（IP列表）。而用户空间程序对列表进行更新顺序是：动态分配空间生成新的数组副本，数组填充完毕后将上面提到的指针更新。

大家看这样做能实现我的需求吗？是不是会存在一些问题？共享内存、互斥有没有更好的实现方法？
请高手不吝赐教，多谢了！

qtdszws

>>该模块与用户空间共享内存，获取要match的IP地址列表，再决定是否match到数据包。用户空间程序可以对IP地址列表进行修改。

不可行

ukyo111

ls可以说说原因吗？

qtdszws

你那个共享内存区必须在内核空间，而要让用户能够共享它，除非特殊的技巧(例如修改用户的页表)，否则很难做到，并且不提倡这么做

ukyo111

我是参考了本站的一个帖子
http://bbs.chinaunix.net/viewthr ... p;extra=&page=3
里面提到可以在用户进程malloc空间，内核模块用taskname定位到用户进程，再调用access_process_vm获取数据。
不过我的方法确实不现实，如果每个包都要调用access_process_vm那效率太低了。