基于Linux内核防火墙Netfilter的安全应用的设计方法

本文在分析netfilter处理数据包过程的基础上,给出了在系统空间和在用户空间开发基于Linux内核防火墙netfilter安全应用的设计方法。     

Linux下内核空间以太网包的捕获设计

在Linux下通常的网络数据包捕获通过Libpcab函数框架实现,该体系下实现的包捕获存在着一些缺陷。探讨了netfilter框架在Linux内核中的实现,并利用netfilter框架进行以太网数据包的捕捉接收,经处理后实现数据包的重组发送。在内核空间处理网络数据包不仅提高了效率,减少了数据从内核空间传递到用户空间消耗的资源,而且可以截获网络上所有的以太网报文,对网络数据进行过滤和处理     

Linux下基于Netfilter的防火墙设计

分析了netfilter的基本原理和内核模块编程的基本要点,在此基础上提出如何利用netfilter设计防火墙,该防火墙运行在内核方式,具有很高的效率,数据包处理能力较强。同时,netfilter框架的使用使其具有良好的代码结构,易于维护和扩展。     

Linux下基于Netfilter的防火墙设计

分析了netfilter的基本原理和内核模块编程的基本要点,在此基础上提出如何利用netfilter设计防火墙,该防火墙运行在内核方式,具有很高的效率,数据包处理能力较强.同时,netfilter框架的使用使其具有良好的代码结构,易于维护和扩展.     

Netfilter的实现分析与网络数据包的捕获

netfilter是出现在linux 2.4版本中通用的网络功能框架,该框架具有功能完善,扩充方便的优点,因而被广泛地使用。通过对于源码分析,探讨了netfilter在内核中的实现,之后对利用netfilter框架进行网络数据包捕获进行了论述,并与其他的网络数据包捕获机制进行了对比。     

基于netfilter的Linux防火墙可扩展性研究

netfilter是Linux2.4以后的内核中采用的一个结构清晰,便于扩展的优秀的防火墙框架.本文介绍了基于netfiler的Linux防火墙的实现机制和扩展机制,并给出了在内核中和用户空间进行扩展的方法.     

Linux防火墙的研究与设计

阐述了Linux 2.4内核的防火墙netfilter的原理,并分析了netfiltr的设计与实现,叙述了Linux的动态地址转换,介绍了在Linux下基于netfilter架构如何开发自己的防火墙并给出具体实例。     

Linux内核中Netfilter/Iptables防火墙的技术分析

Linux提供的基于内核netfilter框架的防火墙,具有通用性和可扩展性的特点,实现了一种性价比较高的安全方案,可以有效地阻止恶意攻击,成为很多网络安全管理员的选择。该文首先介绍防火墙的主要技术,然后详细介绍了Linux内核防火墙netfilter/iptables的实现原理,说明如何应用Linux内核netfilter和iptables实现包过滤型防火墙,保护内部网络的安全。     

基于Linux的高速网络流量采集与分析模型研究

网络流量测量是网络行为研究、网络规划和网络管理的基础,网络流量采集与分析是网络流量测量的核心技术。文章提出并实现了利用Linux的netfilter框架,在Linux内核空间实现网络流量的实时采集与分析,通过Linux的netlink协议与用户空间进程交换分析结果的思想。通过理论分析和实验证明,该方法不仅可行而且高效。     

Linux内核中Netflter／Iptables防火墙的技术分析

Linux提供的基于内核netfilter框架的防火墙,具有通用性和可扩展性的特点,实现了一种性价比较高的安全方案,可以有效地阻止恶意攻击,成为很多网络安全管理员的选择。该文首先介绍防火墙的主要技术,然后详细介绍了Linux内核防火墙netfilter／Iptables的实现原理,说明如何应用Linux内核netfilter和iptables实现包过滤型防火墙,保护内部网络的安全。     

Linux操作系统实时性测试及分析

在特定平台上对Linux的实时性重要指标：中断响应和上下文切换开销加以测试并分析，为Linux嵌入式中的实时应用提供了依据。Linux中断响应与Linux内核机制和内存管理机制紧密相关，而Linux上下文切换开销与Linux进程空间和硬件平台情况紧密相关。     

路由器软硬件转发表同步的设计与Linux实现

路由表的实现是路由器软件的核心，而硬件转发表的维护则是硬件高速转发的关键。在分析路由表与转发表同步模块接口与功能的基础上，充分利用Linux虚拟网络设备和BSD套接字扩展机制的优势与特点，提出了一种在Linux下完成两者同步的新思路。该总体方案及实现已应用于国际合作项目高速宽带路由器的研制与开发中。     

基于Netfilter的数据包捕获技术研究

在Linux下通常的数据包捕获系统,通过Libpcab函数框架实现,而在该体系下实现的包捕获存在着一些缺陷。在Linux2.4版本后,Linux使用了Netfilter框架,便于用户构建自己的防火墙。在该框架下,通过注册钩子函数,可以轻松实现数据包的捕获。本文通过研究Linux2.4后版本内核中的网络框架Netfilter,给出了在该框架下对数据包进行捕获的设计方案,并集中解决了数据信息提取和使用Netlink实现内核与用户态通信的关键问题。     

Linux新型防火墙技术NETFILTER及应用

讨论了新的 Linux2 .4版内核的防火墙机制 netfilter,提供了一个抽象、通用化的框架 ,弥补了 Lin-ux2 .0和 Linux2 .2内核中模块化程度低、规则复杂和无法提供传递数据报到用户空间等不足 ,比以前任何一版Linux内核的防火墙子系统都要完善强大。     

基于RT-Linux的实时机器人控制器研究

本文结合机器人控制器的特点，提出了采用RT-Linux操作系统改进机器人控制实时性的方法，并对机器人控制器任务采用多线程机制进行实时域和非实时域的划分。最后给出了一个在RT-Linux操作系统下实现硬件设备实时驱动程序的实例。     

基于Lua的Linux内核测试工具开发

为减小传统的通过编写大量代码来调用Linux内核及驱动接口进行测试的编程难度,缩短测试周期,采用将Lua脚本语言载入Linux内核并使用脚本语言进行内核及驱动测试的方法,设计并实现一种简易Linux内核驱动测试工具。实验结果表明,该工具所占用的Linux内核空间小,使用灵活方便,可对内核及驱动模块进行准确有效的测试。     

Linux 2.6 kernel exploits

Exploits are increasingly targeting operating system kernel vulnerabilities. For one, applications in user space are better protected by the developers and the kernel than in the past. Second, the promise of a successful kernel exploit is tantalizing full control over the targeted environment. Under Linux, kernel space exploits differ noticeably from user space exploits. Constraints such as execution context problems, module relocation, system calls usage prerequisites and kernel shellcode development have to be dealt with. These kernel exploits are the focus of this paper. We first give an overview of major kernel data structures which are used to handle processes under Linux 2.6 on an Intel IA-32 architecture. We then illustrate the aforementioned constraints by means of two practical Wifi Linux Drivers Stack Overflow exploits. This paper is an expanded version of two conference talks given at SSTIC 2007 in Rennes and at SYSCAN 2007 in Singapore.     

基于Netfilter框架的连接管理模型的研究

分析了Linux内核的Nettiller框架的实现机制,简要介绍了TcP粘合技术.业务选择网关(SSG)只允许授权用户进行TCP连接和资源访问,对TCP粘合技术进行改进,使之适应SSG连接管理机制的需求.提出基于Linux内核的Netfilter框架的连接管理模型的方案,并通过Netlink来实现用户空间和内核空间之间的数据交换.实践证明该方案能有效的对用户的连接进行控制和管理,这种模块化的实现方案具有易于功能扩展的特点,并且系统的性能得到显著的提高.     

Linux/IA64存储管理的研究

安腾处理器家族是Intel公司新一代64位处理器,它已成功应用于科学计算和事务处理等领域,Linux是支持IntelIA-64平台的主流操作系统之一。该文研究了Linux/IA64存储管理,包括Linux/IA64灵活的地址空间划分、TLB等机制,并着重讨论了与IA64VHPT(VirtualHashPageTable)walker紧密结合的虚实地址变换、基于IA64区ID的懒惰TLB刷新等新技术。     

Linux内核扩展模块的P2P流量控制方法与研究

分析了Linux Netfilter/Iptables架构的实现机制和扩展技术,以及P2P协议的特征,通过扩展Linux内核库,利用共享库实现用户数据空间与内核空间的数据交互,扩展防火墙的规则集,从而实现P2P流量控制的方法,而且可以根据不断出现的P2P业务更新规则集,具有很好的扩充性能.