netfilter拦截数据包问题

li_freedom

各位大神：
   小弟有个疑问想请教一下，我看到了一款防火墙产品有个功能是这样的： 如果把防火墙设置成测试模式的时候，在经过防火墙的数据包时非法的（比如设置了进制ICMP的时候使用ping命令），这时候防火墙会发出报警信息，但是不会真正的拦截ping包。如果模式设置成运行模式的时候这个时候在ping的话才会真正的拦截并且报警。

我知道这款防火墙产品使用的linux内核就是源码直接编译出来的，内核源码是没有做过任何修改的。

我想请问一下。这种设置成测试模式只报警不拦截数据包是如何实现的，netfilter本身就具备这种功能吗？

希望明白的大神能指点一下。万分感谢。

瀚海书香

回复 1# li_freedom

各位大神：
   小弟有个疑问想请教一下，我看到了一款防火墙产品有个功能是这样的： 如果把防火墙设置成测试模式的时候，在经过防火墙的数据包时非法的（比如设置了进制ICMP的时候使用ping命令），这时候防火墙会发出报警信息，但是不会真正的拦截ping包。如果模式设置成运行模式的时候这个时候在ping的话才会真正的拦截并且报警。

我知道这款防火墙产品使用的linux内核就是源码直接编译出来的，内核源码是没有做过任何修改的。

我想请问一下。这种设置成测试模式只报警不拦截数据包是如何实现的，netfilter本身就具备这种功能吗？

希望明白的大神能指点一下。万分感谢。

这个实现的方法很多。如果使用netfilter的已有模块，可以如下方法实现：
（1）使用LOG模块记录下日志
（2）通过notify机制，通知到上传应用
（3）上层应用通知到web层，发出报警

   

huangbanban

可以将ping报文通过钩子函数传递到用户空间，根据测试模式还是运行模式进行相应处理，最后还会把对该报文的处理决策告诉内核
如过你想深入研究，独孤九贱的一篇文章讲的很好《Linux 用户态与内核态的交互——netlink 篇》
我把代码下下来编译调试后，发现非常好用，在此感谢原作者

li_freedom

回复 2# 瀚海书香


    “这个实现的方法很多。如果使用netfilter的已有模块，可以如下方法实现：
（1）使用LOG模块记录下日志
（2）通过notify机制，通知到上传应用
（3）上层应用通知到web层，发出报警”


书香兄：
  能不能具体的说下，   我不太明白：比如怎么实现如果防火墙里面设置了禁止ping的时候，如何做到只检查，不拦截ping。
   意思就是说在禁止了ping之后，使用ping命令，这时候会得到报警信息，但是不真正的拦截ping。


这样能实现吗？