乐于分享
好东西不私藏
当前位置：夜雨聆风 > 技术教程 > 软件教程 > 跨平台底层网络库libdnet源码分析系列(十二)

跨平台底层网络库libdnet源码分析系列(十二)

当前时间： 2026-03-30 13:15:12 更新时间： 2026-03-30 分类：软件教程 评论(0)

跨平台底层网络库libdnet源码分析系列(十二)

源码分析mettle后门工具学习 所使用的依赖库

 libdnet 以太网与防火墙模块源码深入分析

目录

  1. 以太网模块概述
  2. Linux平台以太网实现
  3. BSD/macOS平台以太网实现
  4. Solaris平台以太网实现
  5. 防火墙模块概述
  6. BSD IPFW防火墙实现
  7. Linux ipchains防火墙实现
  8. BSD IPF防火墙实现
  9. OpenBSD PF防火墙实现
  10. Windows PktFilter实现
  11. 模块对比与最佳实践

以太网模块概述

1. 模块架构

libdnet的以太网模块提供了跨平台的二层网络访问接口，主要功能包括：

函数
功能描述
eth_open()
打开以太网设备
eth_get()
获取接口MAC地址
eth_set()
设置接口MAC地址
eth_send()
发送以太网帧
eth_close()
关闭以太网设备

2. 以太网帧结构

  1. // include/dnet/eth.h:29-33
  2. struct eth_hdr {
  3. eth_addr_t eth_dst;// 目标MAC地址（6字节）
  4. eth_addr_t eth_src;// 源MAC地址（6字节）
  5. uint16_t eth_type;// 以太类型（2字节）
  6. };

帧格式说明：

  • 标准以太网帧：14字节头部 + 46-1500字节载荷 + 4字节CRC
  • 最小帧：64字节（包括CRC）
  • 最大帧：1518字节（包括CRC）

3. 常见以太类型

  1. // include/dnet/eth.h:38-52
  2. #define ETH_TYPE_IP        0x0800// IPv4协议
  3. #define ETH_TYPE_ARP       0x0806// 地址解析协议
  4. #define ETH_TYPE_REVARP    0x8035// 反向ARP
  5. #define ETH_TYPE_8021Q     0x8100// IEEE 802.1Q VLAN
  6. #define ETH_TYPE_IPV6      0x86DD// IPv6协议
  7. #define ETH_TYPE_MPLS      0x8847// MPLS
  8. #define ETH_TYPE_PPPOE     0x8864// PPPoE
  9. #define ETH_TYPE_LOOPBACK  0x9000// 回环测试

4. MAC地址操作

  1. // include/dnet/eth.h:74-79
  2. #define eth_pack_hdr(h, dst, src, type)do{      \
  3. struct eth_hdr *eth_pack_p =(struct eth_hdr *)(h);   \
  4.     memcpy(&eth_pack_p->eth_dst,&(dst), ETH_ADDR_LEN);  \
  5.     memcpy(&eth_pack_p->eth_src,&(src), ETH_ADDR_LEN);  \
  6.     eth_pack_p->eth_type = htons(type);          \
  7. }while(0)

Linux平台以太网实现

1. 核心数据结构

  1. // src/eth-linux.c:36-40
  2. struct eth_handle {
  3. int                 fd;// PF_PACKET套接字描述符
  4. struct ifreq        ifr;// 接口请求结构
  5. struct sockaddr_ll  sll;// 链路层套接字地址
  6. };

2. eth_open() 实现分析

  1. // src/eth-linux.c:42-67
  2. eth_t*
  3. eth_open(constchar*device)
  4. {
  5. eth_t*e;
  6. int n;
  8. if((e = calloc(1,sizeof(*e)))!= NULL){
  9. // 步骤1: 创建PF_PACKET原始套接字
  10. if((e->fd = socket(PF_PACKET, SOCK_RAW,
  11.              htons(ETH_P_ALL)))<0)
  12. return(eth_close(e));
  14. // 步骤2: 允许广播
  15. #ifdef SO_BROADCAST
  16.         n =1;
  17. if(setsockopt(e->fd, SOL_SOCKET, SO_BROADCAST,&n,
  18. sizeof(n))<0)
  19. return(eth_close(e));
  20. #endif
  22. // 步骤3: 保存设备名称
  23.         strlcpy(e->ifr.ifr_name, device,sizeof(e->ifr.ifr_name));
  25. // 步骤4: 获取接口索引
  26. if(ioctl(e->fd, SIOCGIFINDEX,&e->ifr)<0)
  27. return(eth_close(e));
  29. // 步骤5: 配置链路层地址
  30.         e->sll.sll_family = AF_PACKET;
  31.         e->sll.sll_ifindex = e->ifr.ifr_ifindex;
  32. }
  33. return(e);
  34. }

实现细节：

  1. PF_PACKET套接字创建c socket(PF_PACKET,SOCK_RAW,htons(ETH_P_ALL))
  • PF_PACKET: Linux特有的协议族，用于链路层访问
  • SOCK_RAW: 原始套接字模式
  • ETH_P_ALL: 接收所有协议类型的以太网帧
  1. ioctl调用流程mermaid graph TD A[SIOCGIFINDEX]-->B[获取接口索引]B-->C[绑定到特定接口]A-->D[SIOCGIFHWADDR]D-->E[获取MAC地址]E-->F[eth_get调用]A-->G[SIOCSIFHWADDR]G-->H[设置MAC地址]H-->I[eth_set调用]

3. eth_send() 实现

  1. // src/eth-linux.c:69-78
  2. ssize_t
  3. eth_send(eth_t*e,constvoid*buf,size_t len)
  4. {
  5. struct eth_hdr *eth =(struct eth_hdr *)buf;
  7. // 从以太网头中提取协议类型
  8.     e->sll.sll_protocol = eth->eth_type;
  10. // 通过sendto发送数据包，指定链路层地址
  11. return(sendto(e->fd, buf, len,0,(struct sockaddr *)&e->sll,
  12. sizeof(e->sll)));
  13. }

发送流程：

  1. 1.解析以太网头，提取eth_type
  2. 2.设置sll_protocol字段
  3. 3.调用sendto()发送
  4. 4.内核根据sll_ifindex路由到指定接口
  5. 5.硬件发送帧

4. eth_get() 实现

  1. // src/eth-linux.c:91-104
  2. int
  3. eth_get(eth_t*e,eth_addr_t*ea)
  4. {
  5. struct addr ha;
  7. // 通过ioctl获取硬件地址
  8. if(ioctl(e->fd, SIOCGIFHWADDR,&e->ifr)<0)
  9. return(-1);
  11. // 转换地址格式
  12. if(addr_ston(&e->ifr.ifr_hwaddr,&ha)<0)
  13. return(-1);
  15. // 复制MAC地址
  16.     memcpy(ea,&ha.addr_eth,sizeof(*ea));
  17. return(0);
  18. }

5. eth_set() 实现

  1. // src/eth-linux.c:106-118
  2. int
  3. eth_set(eth_t*e,consteth_addr_t*ea)
  4. {
  5. struct addr ha;
  7.     ha.addr_type = ADDR_TYPE_ETH;
  8.     ha.addr_bits = ETH_ADDR_BITS;
  9.     memcpy(&ha.addr_eth, ea, ETH_ADDR_LEN);
  11. // 转换地址格式
  12.     addr_ntos(&ha,&e->ifr.ifr_hwaddr);
  14. // 通过ioctl设置硬件地址
  15. return(ioctl(e->fd, SIOCSIFHWADDR,&e->ifr));
  16. }

注意事项：

  • 修改MAC地址需要 CAP_NET_ADMIN权限
  • 某些网卡驱动可能不支持MAC地址修改
  • 修改后需要重启接口才能生效

BSD/macOS平台以太网实现

1. 核心数据结构

  1. // src/eth-bsd.c:34-37
  2. struct eth_handle {
  3. int     fd;// BPF文件描述符
  4. char    device[16];// 设备名称
  5. };

2. BPF (Berkeley Packet Filter) 简介

BPF是BSD系统的数据包捕获和过滤机制，特点：

  • 基于设备文件 /dev/bpf*
  • 支持高效的BPF字节码过滤
  • 提供原始数据包访问

3. eth_open() 实现分析

  1. // src/eth-bsd.c:39-74
  2. eth_t*
  3. eth_open(constchar*device)
  4. {
  5. struct ifreq ifr;
  6. char file[32];
  7. eth_t*e;
  8. int i;
  10. if((e = calloc(1,sizeof(*e)))!= NULL){
  11. // 步骤1: 尝试打开可用的BPF设备
  12. for(i =0; i <128; i++){
  13.             snprintf(file,sizeof(file),"/dev/bpf%d", i);
  14. /* O_RDWR: Mac OS X 10.6有bug，使用O_RDWR而不是O_WRONLY */
  15.             e->fd = open(file, O_RDWR);
  16. if(e->fd !=-1|| errno != EBUSY)
  17. break;
  18. }
  19. if(e->fd <0)
  20. return(eth_close(e));
  22. // 步骤2: 将BPF绑定到指定网络接口
  23.         memset(&ifr,0,sizeof(ifr));
  24.         strlcpy(ifr.ifr_name, device,sizeof(ifr.ifr_name));
  26. if(ioctl(e->fd, BIOCSETIF,(char*)&ifr)<0)
  27. return(eth_close(e));
  29. // 步骤3: 设置BIOCSETIF标志
  30. #ifdef BIOCSHDRCMPLT
  31.         i =1;
  32. if(ioctl(e->fd, BIOCSHDRCMPLT,&i)<0)
  33. return(eth_close(e));
  34. #endif
  36.         strlcpy(e->device, device,sizeof(e->device));
  37. }
  38. return(e);
  39. }

BPF ioctl命令说明：

命令
功能
参数
BIOCSETIF
绑定到网络接口
struct ifreq
BIOCSHDRCMPLT
设置头部完成标志
int
BIOCGBLEN
获取缓冲区长度
int
BIOCSBLEN
设置缓冲区长度
int

4. eth_send() 实现

  1. // src/eth-bsd.c:76-80
  2. ssize_t
  3. eth_send(eth_t*e,constvoid*buf,size_t len)
  4. {
  5. return(write(e->fd, buf, len));
  6. }

发送流程：

  1. 1.应用程序调用write()
  2. 2.数据写入BPF设备
  3. 3.内核通过绑定的接口发送
  4. 4.数据包进入网络栈

5. eth_get() 实现（sysctl方式）

  1. // src/eth-bsd.c:94-138
  2. int
  3. eth_get(eth_t*e,eth_addr_t*ea)
  4. {
  5. struct if_msghdr *ifm;
  6. struct sockaddr_dl *sdl;
  7. struct addr ha;
  8.     u_char *p,*buf;
  9. size_t len;
  10. int mib[]={ CTL_NET, AF_ROUTE,0, AF_LINK, NET_RT_IFLIST,0};
  12. // 步骤1: 获取所需缓冲区大小
  13. if(sysctl(mib,6, NULL,&len, NULL,0)<0)
  14. return(-1);
  16. // 步骤2: 分配缓冲区
  17. if((buf = malloc(len))== NULL)
  18. return(-1);
  20. // 步骤3: 获取接口列表
  21. if(sysctl(mib,6, buf,&len, NULL,0)<0){
  22.         free(buf);
  23. return(-1);
  24. }
  26. // 步骤4: 遍历接口列表查找目标接口
  27. for(p = buf; p < buf + len; p += ifm->ifm_msglen){
  28.         ifm =(struct if_msghdr *)p;
  29.         sdl =(struct sockaddr_dl *)(ifm +1);
  31. if(ifm->ifm_type != RTM_IFINFO ||
  32. (ifm->ifm_addrs & RTA_IFP)==0)
  33. continue;
  35. if(sdl->sdl_family != AF_LINK || sdl->sdl_nlen ==0||
  36.             memcmp(sdl->sdl_data, e->device, sdl->sdl_nlen)!=0)
  37. continue;
  39. if(addr_ston((struct sockaddr *)sdl,&ha)==0)
  40. break;
  41. }
  42.     free(buf);
  44. if(p >= buf + len){
  45.         errno = ESRCH;
  46. return(-1);
  47. }
  48.     memcpy(ea,&ha.addr_eth,sizeof(*ea));
  50. return(0);
  51. }

sysctl MIB树结构：

  1. CTL_NET (4)
  2. └── AF_ROUTE (17)
  3. └──0(协议族)
  4. └── AF_LINK (18)
  5. └── NET_RT_IFLIST (3)
  6. └──0(接口索引)

6. eth_set() 实现

  1. // src/eth-bsd.c:148-164
  2. int
  3. eth_set(eth_t*e,consteth_addr_t*ea)
  4. {
  5. struct ifreq ifr;
  6. struct addr ha;
  8.     ha.addr_type = ADDR_TYPE_ETH;
  9.     ha.addr_bits = ETH_ADDR_BITS;
  10.     memcpy(&ha.addr_eth, ea, ETH_ADDR_LEN);
  12.     memset(&ifr,0,sizeof(ifr));
  13.     strlcpy(ifr.ifr_name, e->device,sizeof(ifr.ifr_name));
  14.     addr_ntos(&ha,&ifr.ifr_addr);
  16. // 使用SIOCSIFLLADDR设置链路层地址
  17. return(ioctl(e->fd, SIOCSIFLLADDR,&ifr));
  18. }

Solaris平台以太网实现

1. 核心数据结构

  1. // src/eth-dlpi.c:42-45
  2. struct eth_handle {
  3. int     fd;// DLPI流文件描述符
  4. int     sap_len;// SAP长度
  5. };

2. DLPI (Data Link Provider Interface) 简介

DLPI是Solaris和其他System V系统的数据链路接口规范：

  • 基于STREAMS机制
  • 支持多种介质类型（以太网、FDDI等）
  • 使用putmsg/getmsg进行消息交换

3. DLPI消息处理

  1. // src/eth-dlpi.c:47-72
  2. staticint
  3. dlpi_msg(int fd,union DL_primitives *dlp,int rlen,int flags,
  4. int ack,int alen,int size)
  5. {
  6. struct strbuf ctl;
  8.     ctl.maxlen =0;
  9.     ctl.len = rlen;
  10.     ctl.buf =(caddr_t)dlp;
  12. // 发送DLPI请求
  13. if(putmsg(fd,&ctl, NULL, flags)<0)
  14. return(-1);
  16.     ctl.maxlen = size;
  17.     ctl.len =0;
  19.     flags =0;
  21. // 接收DLPI响应
  22. if(getmsg(fd,&ctl, NULL,&flags)<0)
  23. return(-1);
  25. // 验证响应类型和长度
  26. if(dlp->dl_primitive != ack || ctl.len < alen)
  27. return(-1);
  29. return(0);
  30. }

4. eth_open() 实现分析

  1. // src/eth-dlpi.c:132-205
  2. eth_t*
  3. eth_open(constchar*device)
  4. {
  5. union DL_primitives *dlp;
  6. uint32_t buf[8192];
  7. char*p, dev[16];
  8. eth_t*e;
  9. int ppa;
  11. if((e = calloc(1,sizeof(*e)))== NULL)
  12. return(NULL);
  14. #ifdef HAVE_SYS_DLPIHDR_H
  15. // OSF1方式
  16. if((e->fd = open("/dev/streams/dlb", O_RDWR))<0)
  17. return(eth_close(e));
  19. if((ppa = eth_match_ppa(e, device))<0){
  20.         errno = ESRCH;
  21. return(eth_close(e));
  22. }
  23. #else
  24. // 标准DLPI方式
  25.     e->fd =-1;
  26.     snprintf(dev,sizeof(dev),"/dev/%s", device);
  27. if((p = dev_find_ppa(dev))== NULL){
  28.         errno = EINVAL;
  29. return(eth_close(e));
  30. }
  31.     ppa = atoi(p);
  32. *p ='\0';
  34. // 尝试多个可能的设备路径
  35. if((e->fd = open(dev, O_RDWR))<0){
  36.         snprintf(dev,sizeof(dev),"/dev/%s", device);
  37. if((e->fd = open(dev, O_RDWR))<0){
  38.             snprintf(dev,sizeof(dev),"/dev/net/%s", device);
  39. if((e->fd = open(dev, O_RDWR))<0)
  40. return(eth_close(e));
  41. }
  42. }
  43. #endif
  45. // 步骤1: 发送DL_INFO_REQ获取提供商信息
  46.     dlp =(union DL_primitives *)buf;
  47.     dlp->info_req.dl_primitive = DL_INFO_REQ;
  49. if(dlpi_msg(e->fd, dlp, DL_INFO_REQ_SIZE, RS_HIPRI,
  50.         DL_INFO_ACK, DL_INFO_ACK_SIZE,sizeof(buf))<0)
  51. return(eth_close(e));
  53.     e->sap_len = dlp->info_ack.dl_sap_length;
  55. // 步骤2: 如果是STYLE2，需要附加到PPA
  56. if(dlp->info_ack.dl_provider_style == DL_STYLE2){
  57.         dlp->attach_req.dl_primitive = DL_ATTACH_REQ;
  58.         dlp->attach_req.dl_ppa = ppa;
  60. if(dlpi_msg(e->fd, dlp, DL_ATTACH_REQ_SIZE,0,
  61.             DL_OK_ACK, DL_OK_ACK_SIZE,sizeof(buf))<0)
  62. return(eth_close(e));
  63. }
  65. // 步骤3: 绑定到服务接入点
  66.     memset(&dlp->bind_req,0, DL_BIND_REQ_SIZE);
  67.     dlp->bind_req.dl_primitive = DL_BIND_REQ;
  68. #ifdef DL_HP_RAWDLS
  69.     dlp->bind_req.dl_sap =24;// HP-UX特殊值
  70.     dlp->bind_req.dl_service_mode = DL_HP_RAWDLS;
  71. #else
  72.     dlp->bind_req.dl_sap = DL_ETHER;
  73.     dlp->bind_req.dl_service_mode = DL_CLDLS;
  74. #endif
  75. if(dlpi_msg(e->fd, dlp, DL_BIND_REQ_SIZE,0,
  76.         DL_BIND_ACK, DL_BIND_ACK_SIZE,sizeof(buf))<0)
  77. return(eth_close(e));
  79. // 步骤4: 启用原始模式
  80. #ifdef DLIOCRAW
  81. if(strioctl(e->fd, DLIOCRAW,0, NULL)<0)
  82. return(eth_close(e));
  83. #endif
  84. return(e);
  85. }

DLPI握手流程：

  1. 1. DL_INFO_REQ -> DL_INFO_ACK (获取提供商信息)
  2. 2. DL_ATTACH_REQ -> DL_OK_ACK (STYLE2:附加到PPA)
  3. 3. DL_BIND_REQ -> DL_BIND_ACK (绑定到SAP)
  4. 4. DLIOCRAW ioctl (启用原始模式)

5. eth_send() 实现

  1. // src/eth-dlpi.c:207-257
  2. ssize_t
  3. eth_send(eth_t*e,constvoid*buf,size_t len)
  4. {
  5. #if defined(DLIOCRAW)
  6. // 简单模式：直接写入
  7. return(write(e->fd, buf, len));
  8. #else
  9. // 复杂模式：构建DL_UNITDATA_REQ消息
  10. union DL_primitives *dlp;
  11. struct strbuf ctl, data;
  12. struct eth_hdr *eth;
  13. uint32_t ctlbuf[8192];
  14.     u_char sap[4]={0,0,0,0};
  15. int dlen;
  17.     dlp =(union DL_primitives *)ctlbuf;
  18. #ifdef DL_HP_RAWDATA_REQ
  19.     dlp->dl_primitive = DL_HP_RAWDATA_REQ;
  20.     dlen = DL_HP_RAWDATA_REQ_SIZE;
  21. #else
  22.     dlp->unitdata_req.dl_primitive = DL_UNITDATA_REQ;
  23.     dlp->unitdata_req.dl_dest_addr_length = ETH_ADDR_LEN;
  24.     dlp->unitdata_req.dl_dest_addr_offset = DL_UNITDATA_REQ_SIZE;
  25.     dlp->unitdata_req.dl_priority.dl_min =
  26.         dlp->unitdata_req.dl_priority.dl_max =0;
  27.     dlen = DL_UNITDATA_REQ_SIZE;
  28. #endif
  29.     eth =(struct eth_hdr *)buf;
  30. *(uint16_t*)sap = ntohs(eth->eth_type);
  32. // 构建控制消息
  33.     ctl.maxlen =0;
  34.     ctl.len = dlen + ETH_ADDR_LEN + abs(e->sap_len);
  35.     ctl.buf =(char*)ctlbuf;
  37. if(e->sap_len >=0){
  38.         memcpy(ctlbuf + dlen, sap, e->sap_len);
  39.         memcpy(ctlbuf + dlen + e->sap_len,
  40.             eth->eth_dst.data, ETH_ADDR_LEN);
  41. }else{
  42.         memcpy(ctlbuf + dlen, eth->eth_dst.data, ETH_ADDR_LEN);
  43.         memcpy(ctlbuf + dlen + ETH_ADDR_LEN, sap, abs(e->sap_len));
  44. }
  46. // 构建数据消息
  47.     data.maxlen =0;
  48.     data.len = len;
  49.     data.buf =(char*)buf;
  51. // 使用putmsg发送
  52. if(putmsg(e->fd,&ctl,&data,0)<0)
  53. return(-1);
  55. return(len);
  56. #endif
  57. }

6. ethget() 和 ethset() 实现

  1. // src/eth-dlpi.c:270-287
  2. int
  3. eth_get(eth_t*e,eth_addr_t*ea)
  4. {
  5. union DL_primitives *dlp;
  6.     u_char buf[2048];
  8.     dlp =(union DL_primitives *)buf;
  9.     dlp->physaddr_req.dl_primitive = DL_PHYS_ADDR_REQ;
  10.     dlp->physaddr_req.dl_addr_type = DL_CURR_PHYS_ADDR;
  12. if(dlpi_msg(e->fd, dlp, DL_PHYS_ADDR_REQ_SIZE,0,
  13.         DL_PHYS_ADDR_ACK, DL_PHYS_ADDR_ACK_SIZE,sizeof(buf))<0)
  14. return(-1);
  16.     memcpy(ea, buf + dlp->physaddr_ack.dl_addr_offset,sizeof(*ea));
  18. return(0);
  19. }
  21. // src/eth-dlpi.c:289-304
  22. int
  23. eth_set(eth_t*e,consteth_addr_t*ea)
  24. {
  25. union DL_primitives *dlp;
  26.     u_char buf[2048];
  28.     dlp =(union DL_primitives *)buf;
  29.     dlp->set_physaddr_req.dl_primitive = DL_SET_PHYS_ADDR_REQ;
  30.     dlp->set_physaddr_req.dl_addr_length = ETH_ADDR_LEN;
  31.     dlp->set_physaddr_req.dl_addr_offset = DL_SET_PHYS_ADDR_REQ_SIZE;
  33.     memcpy(buf + DL_SET_PHYS_ADDR_REQ_SIZE, ea,sizeof(*ea));
  35. return(dlpi_msg(e->fd, dlp, DL_SET_PHYS_ADDR_REQ_SIZE + ETH_ADDR_LEN,
  36. 0, DL_OK_ACK, DL_OK_ACK_SIZE,sizeof(buf)));
  37. }

防火墙模块概述

1. 模块架构

防火墙模块提供跨平台的防火墙规则管理接口：

  1. // include/dnet/fw.h
  2. struct fw_rule {
  3. char    fw_device[INTF_NAME_LEN];// 网络接口
  4. uint8_t fw_op;// 操作：允许/拒绝
  5. uint8_t fw_dir;// 方向：入站/出站
  6. uint8_t fw_proto;// 协议：TCP/UDP/ICMP
  7. struct addr fw_src;// 源地址
  8. struct addr fw_dst;// 目标地址
  9. uint16_t fw_sport[2];// 源端口范围
  10. uint16_t fw_dport[2];// 目标端口范围
  11. };

2. 核心函数

函数
功能描述
fw_open()
打开防火墙子系统
fw_add()
添加防火墙规则
fw_delete()
删除防火墙规则
fw_loop()
遍历防火墙规则
fw_close()
关闭防火墙子系统

3. 平台支持矩阵

平台
防火墙系统
实现文件
FreeBSD
ipfw
fw-ipfw.c
Linux (2.2)
ipchains
fw-ipchains.c
Solaris/HP-UX/IRIX
ipfilter
fw-ipf.c
OpenBSD/FreeBSD
pf
fw-pf.c
Windows
PktFilter
fw-pktfilter.c
其他
无
fw-none.c

BSD IPFW防火墙实现

1. 核心数据结构

  1. // src/fw-ipfw.c:28-30
  2. struct fw_handle {
  3. int     fd;// 原始套接字描述符
  4. };

2. 规则转换：fwrule -> ipfw

  1. // src/fw-ipfw.c:42-109
  2. staticvoid
  3. fr_to_ipfw(conststruct fw_rule *fr,struct ip_fw *ipfw)
  4. {
  5. int i;
  7.     memset(ipfw,0,sizeof(*ipfw));
  9. // 方向和接口
  10. if(fr->fw_dir == FW_DIR_IN){
  11. if(*fr->fw_device !='\0'){
  12.             fr_to_ipfw_device(fr->fw_device,
  13.                 ipfw->fw_in_if.fu_via_if.name,
  14. &ipfw->fw_in_if.fu_via_if.unit);
  15.             ipfw->fw_flg |= IP_FW_F_IIFNAME;
  16. }
  17.         ipfw->fw_flg |= IP_FW_F_IN;
  18. }else{
  19. if(*fr->fw_device !='\0'){
  20.             fr_to_ipfw_device(fr->fw_device,
  21.                 ipfw->fw_out_if.fu_via_if.name,
  22. &ipfw->fw_out_if.fu_via_if.unit);
  23.             ipfw->fw_flg |= IP_FW_F_OIFNAME;
  24. }
  25.         ipfw->fw_flg |= IP_FW_F_OUT;
  26. }
  28. // 操作
  29. if(fr->fw_op == FW_OP_ALLOW)
  30.         ipfw->fw_flg |= IP_FW_F_ACCEPT;
  31. else
  32.         ipfw->fw_flg |= IP_FW_F_DENY;
  34. // 协议和地址
  35.     ipfw->fw_prot = fr->fw_proto;
  36.     ipfw->fw_src.s_addr = fr->fw_src.addr_ip;
  37.     ipfw->fw_dst.s_addr = fr->fw_dst.addr_ip;
  38.     addr_btom(fr->fw_src.addr_bits,&ipfw->fw_smsk.s_addr, IP_ADDR_LEN);
  39.     addr_btom(fr->fw_dst.addr_bits,&ipfw->fw_dmsk.s_addr, IP_ADDR_LEN);
  41. // 端口处理
  42. switch(fr->fw_proto){
  43. case IP_PROTO_TCP:
  44. case IP_PROTO_UDP:
  45.         i =0;
  46. if(fr->fw_sport[0]!= fr->fw_sport[1]){
  47.             ipfw->fw_flg |= IP_FW_F_SRNG;
  48.             ipfw->fw_uar.fw_pts[i++]= fr->fw_sport[0];
  49.             ipfw->fw_uar.fw_pts[i++]= fr->fw_sport[1];
  50.             IP_FW_SETNSRCP(ipfw,2);
  51. }elseif(fr->fw_sport[0]>0){
  52.             ipfw->fw_uar.fw_pts[i++]= fr->fw_sport[0];
  53.             IP_FW_SETNSRCP(ipfw,1);
  54. }
  55. if(fr->fw_dport[0]!= fr->fw_dport[1]){
  56.             ipfw->fw_flg |= IP_FW_F_DRNG;
  57.             ipfw->fw_uar.fw_pts[i++]= fr->fw_dport[0];
  58.             ipfw->fw_uar.fw_pts[i++]= fr->fw_dport[1];
  59.             IP_FW_SETNDSTP(ipfw,2);
  60. }elseif(fr->fw_dport[0]>0){
  61.             ipfw->fw_uar.fw_pts[i++]= fr->fw_dport[0];
  62.             IP_FW_SETNDSTP(ipfw,1);
  63. }
  64. break;
  65. case IP_PROTO_ICMP:
  66. if(fr->fw_sport[1]){
  67.             ipfw->fw_uar.fw_icmptypes[fr->fw_sport[0]/32]|=
  68. 1<<(fr->fw_sport[0]%32);
  69.             ipfw->fw_flg |= IP_FW_F_ICMPBIT;
  70. }
  71. break;
  72. }
  73. }

3. fw_open() 实现

  1. // src/fw-ipfw.c:184-194
  2. fw_t*
  3. fw_open(void)
  4. {
  5. fw_t*fw;
  7. if((fw = calloc(1,sizeof(*fw)))!= NULL){
  8. // 创建原始套接字用于防火墙操作
  9. if((fw->fd = socket(AF_INET, SOCK_RAW, IPPROTO_IP))<0)
  10. return(fw_close(fw));
  11. }
  12. return(fw);
  13. }

4. fw_add() 实现

  1. // src/fw-ipfw.c:196-207
  2. int
  3. fw_add(fw_t*fw,conststruct fw_rule *rule)
  4. {
  5. struct ip_fw ipfw;
  7.     assert(fw != NULL && rule != NULL);
  9. // 转换规则格式
  10.     fr_to_ipfw(rule,&ipfw);
  12. // 使用setsockopt添加规则
  13. return(setsockopt(fw->fd, IPPROTO_IP, IP_FW_ADD,
  14. &ipfw,sizeof(ipfw)));
  15. }

5. fw_delete() 实现

  1. // src/fw-ipfw.c:222-273
  2. int
  3. fw_delete(fw_t*fw,conststruct fw_rule *rule)
  4. {
  5. struct ip_fw *ipfw;
  6. struct fw_rule fr;
  7. int nbytes, nalloc, ret;
  8.     u_char *buf,*new;
  10.     assert(rule != NULL);
  12. // 步骤1: 获取所有规则
  13.     nbytes = nalloc =sizeof(*ipfw);
  14. if((buf = malloc(nbytes))== NULL)
  15. return(-1);
  17. while(nbytes >= nalloc){
  18.         nalloc = nalloc *2+200;
  19.         nbytes = nalloc;
  20. if((new= realloc(buf, nbytes))== NULL){
  21. if(buf)
  22.                 free(buf);
  23. return(-1);
  24. }
  25.         buf =new;
  26. if(getsockopt(fw->fd, IPPROTO_IP, IP_FW_GET,
  27.                buf,&nbytes)<0){
  28.             free(buf);
  29. return(-1);
  30. }
  31. }
  33. // 步骤2: 查找匹配的规则
  34.     ret =-1;
  36. // 65535是ipfw的默认规则
  37. for(ipfw =(struct ip_fw *)buf; ipfw->fw_number <65535; ipfw++){
  38.         ipfw_to_fr(ipfw,&fr);
  39. if(fw_cmp(&fr, rule)==0){
  40. if(setsockopt(fw->fd, IPPROTO_IP, IP_FW_DEL,
  41.                 ipfw,sizeof(*ipfw))<0)
  42.                 ret =-2;
  43. else
  44.                 ret =0;
  45. break;
  46. }
  47. }
  48.     free(buf);
  50. if(ret <0){
  51. if(ret ==-1)
  52.             errno = ESRCH;
  53. return(-1);
  54. }
  55. return(0);
  56. }

6. fw_loop() 实现

  1. // src/fw-ipfw.c:275-313
  2. int
  3. fw_loop(fw_t*fw, fw_handler callback,void*arg)
  4. {
  5. struct ip_fw *ipfw;
  6. struct fw_rule fr;
  7. int i, cnt, nbytes, nalloc, ret;
  8.     u_char *buf,*new;
  10. // 获取规则列表
  11.     nbytes = nalloc =sizeof(*ipfw);
  12. if((buf = malloc(nbytes))== NULL)
  13. return(-1);
  15. while(nbytes >= nalloc){
  16.         nalloc = nalloc *2+200;
  17.         nbytes = nalloc;
  18. if((new= realloc(buf, nbytes))== NULL){
  19. if(buf)
  20.                 free(buf);
  21. return(-1);
  22. }
  23.         buf =new;
  24. if(getsockopt(fw->fd, IPPROTO_IP, IP_FW_GET,
  25.                buf,&nbytes)<0){
  26.             free(buf);
  27. return(-1);
  28. }
  29. }
  30.     cnt = nbytes /sizeof(*ipfw);
  31.     ipfw =(struct ip_fw *)buf;
  32.     ret =0;
  34. // 遍历规则
  35. for(i =0; i < cnt; i++){
  36.         ipfw_to_fr(&ipfw[i],&fr);
  37. if((ret = callback(&fr, arg))!=0)
  38. break;
  39. }
  40.     free(buf);
  41. return(ret);
  42. }

Linux ipchains防火墙实现

1. 核心数据结构

  1. // src/fw-ipchains.c:40-42
  2. struct fw_handle {
  3. int     fd;// 原始套接字描述符
  4. };
  6. #define PROC_IPCHAINS_FILE    "/proc/net/ip_fwchains"

2. 规则转换：fwrule -> ipfwchange

  1. // src/fw-ipchains.c:44-78
  2. staticvoid
  3. fr_to_fwc(conststruct fw_rule *fr,struct ip_fwchange *fwc)
  4. {
  5.     memset(fwc,0,sizeof(*fwc));
  7. // 接口名称
  8.     strlcpy(fwc->fwc_rule.ipfw.fw_vianame, fr->fw_device, IFNAMSIZ);
  10. // 操作和方向标签
  11. if(fr->fw_op == FW_OP_ALLOW)
  12.         strlcpy(fwc->fwc_rule.label, IP_FW_LABEL_ACCEPT,
  13. sizeof(fwc->fwc_rule.label));
  14. else
  15.         strlcpy(fwc->fwc_rule.label, IP_FW_LABEL_BLOCK,
  16. sizeof(fwc->fwc_rule.label));
  18. if(fr->fw_dir == FW_DIR_IN)
  19.         strlcpy(fwc->fwc_label, IP_FW_LABEL_INPUT,
  20. sizeof(fwc->fwc_label));
  21. else
  22.         strlcpy(fwc->fwc_label, IP_FW_LABEL_OUTPUT,
  23. sizeof(fwc->fwc_label));
  25. // 协议和地址
  26.     fwc->fwc_rule.ipfw.fw_proto = fr->fw_proto;
  27.     fwc->fwc_rule.ipfw.fw_src.s_addr = fr->fw_src.addr_ip;
  28.     fwc->fwc_rule.ipfw.fw_dst.s_addr = fr->fw_dst.addr_ip;
  29.     addr_btom(fr->fw_src.addr_bits,&fwc->fwc_rule.ipfw.fw_smsk.s_addr,
  30.         IP_ADDR_LEN);
  31.     addr_btom(fr->fw_dst.addr_bits,&fwc->fwc_rule.ipfw.fw_dmsk.s_addr,
  32.         IP_ADDR_LEN);
  34. // 端口范围
  35.     fwc->fwc_rule.ipfw.fw_spts[0]= fr->fw_sport[0];
  36.     fwc->fwc_rule.ipfw.fw_spts[1]= fr->fw_sport[1];
  37.     fwc->fwc_rule.ipfw.fw_dpts[0]= fr->fw_dport[0];
  38.     fwc->fwc_rule.ipfw.fw_dpts[1]= fr->fw_dport[1];
  39. }

3. fw_open() 实现

  1. // src/fw-ipchains.c:114-124
  2. fw_t*
  3. fw_open(void)
  4. {
  5. fw_t*fw;
  7. if((fw = calloc(1,sizeof(*fw)))!= NULL){
  8. // 创建原始套接字
  9. if((fw->fd = socket(AF_INET, SOCK_RAW, IPPROTO_RAW))<0)
  10. return(fw_close(fw));
  11. }
  12. return(fw);
  13. }

4. fwadd() 和 fwdelete() 实现

  1. // src/fw-ipchains.c:126-146
  2. int
  3. fw_add(fw_t*fw,conststruct fw_rule *rule)
  4. {
  5. struct ip_fwchange fwc;
  7.     fr_to_fwc(rule,&fwc);
  9. // 使用IP_FW_APPEND追加规则
  10. return(setsockopt(fw->fd, IPPROTO_IP, IP_FW_APPEND,
  11. &fwc,sizeof(fwc)));
  12. }
  14. int
  15. fw_delete(fw_t*fw,conststruct fw_rule *rule)
  16. {
  17. struct ip_fwchange fwc;
  19.     fr_to_fwc(rule,&fwc);
  21. // 使用IP_FW_DELETE删除规则
  22. return(setsockopt(fw->fd, IPPROTO_IP, IP_FW_DELETE,
  23. &fwc,sizeof(fwc)));
  24. }

5. fw_loop() 实现（通过/proc解析）

  1. // src/fw-ipchains.c:148-216
  2. int
  3. fw_loop(fw_t*fw, fw_handler callback,void*arg)
  4. {
  5. FILE*fp;
  6. struct ip_fwchange fwc;
  7. struct fw_rule fr;
  8. char buf[BUFSIZ];
  9.     u_int phi, plo, bhi, blo, tand, txor;
  10. int ret;
  12. // 打开/proc/net/ip_fwchains文件
  13. if((fp = fopen(PROC_IPCHAINS_FILE,"r"))== NULL)
  14. return(-1);
  16. // 解析每一行
  17. while(fgets(buf,sizeof(buf), fp)!= NULL){
  18. if(sscanf(buf,
  19. "%8s %X/%X->%X/%X %s %hX %hX %hu %u %u %u %u "
  20. "%hu-%hu %hu-%hu A%X X%X %hX %u %hu %s\n",
  21.             fwc.fwc_label,
  22. &fwc.fwc_rule.ipfw.fw_src.s_addr,
  23. &fwc.fwc_rule.ipfw.fw_smsk.s_addr,
  24. &fwc.fwc_rule.ipfw.fw_dst.s_addr,
  25. &fwc.fwc_rule.ipfw.fw_dmsk.s_addr,
  26.             fwc.fwc_rule.ipfw.fw_vianame,
  27. &fwc.fwc_rule.ipfw.fw_flg,
  28. &fwc.fwc_rule.ipfw.fw_invflg,
  29. &fwc.fwc_rule.ipfw.fw_proto,
  30. &phi,&plo,&bhi,&blo,
  31. &fwc.fwc_rule.ipfw.fw_spts[0],
  32. &fwc.fwc_rule.ipfw.fw_spts[1],
  33. &fwc.fwc_rule.ipfw.fw_dpts[0],
  34. &fwc.fwc_rule.ipfw.fw_dpts[1],
  35. &tand,&txor,
  36. &fwc.fwc_rule.ipfw.fw_redirpt,
  37. &fwc.fwc_rule.ipfw.fw_mark,
  38. &fwc.fwc_rule.ipfw.fw_outputsize,
  39.             fwc.fwc_rule.label)!=23)
  40. break;
  42. // 过滤不支持的规则类型
  43. if(strcmp(fwc.fwc_rule.label, IP_FW_LABEL_ACCEPT)!=0&&
  44.             strcmp(fwc.fwc_rule.label, IP_FW_LABEL_BLOCK)!=0&&
  45.             strcmp(fwc.fwc_rule.label, IP_FW_LABEL_REJECT)!=0)
  46. continue;
  47. if(strcmp(fwc.fwc_label, IP_FW_LABEL_INPUT)!=0&&
  48.             strcmp(fwc.fwc_label, IP_FW_LABEL_OUTPUT)!=0)
  49. continue;
  51. // 转换地址格式（从网络字节序到主机字节序）
  52. if(strcmp(fwc.fwc_rule.label,"-")==0)
  53. (fwc.fwc_rule.label)[0]='\0';
  54. if(strcmp(fwc.fwc_rule.ipfw.fw_vianame,"-")==0)
  55. (fwc.fwc_rule.ipfw.fw_vianame)[0]='\0';
  56.         fwc.fwc_rule.ipfw.fw_src.s_addr =
  57.             htonl(fwc.fwc_rule.ipfw.fw_src.s_addr);
  58.         fwc.fwc_rule.ipfw.fw_dst.s_addr =
  59.             htonl(fwc.fwc_rule.ipfw.fw_dst.s_addr);
  60.         fwc.fwc_rule.ipfw.fw_smsk.s_addr =
  61.             htonl(fwc.fwc_rule.ipfw.fw_smsk.s_addr);
  62.         fwc.fwc_rule.ipfw.fw_dmsk.s_addr =
  63.             htonl(fwc.fwc_rule.ipfw.fw_dmsk.s_addr);
  65.         fwc_to_fr(&fwc,&fr);
  67. if((ret = callback(&fr, arg))!=0){
  68.             fclose(fp);
  69. return(ret);
  70. }
  71. }
  72.     fclose(fp);
  74. return(0);
  75. }

BSD IPF防火墙实现

1. 核心数据结构

  1. // src/fw-ipf.c:46-49
  2. struct fw_handle {
  3. int     fd;// IPF设备文件描述符
  4. int     kfd;// 内核内存文件描述符
  5. };
  7. #define KMEM_NAME    "/dev/kmem"

2. 规则转换：fw_rule -> frentry

  1. // src/fw-ipf.c:51-100
  2. staticvoid
  3. rule_to_ipf(conststruct fw_rule *rule,struct frentry *fr)
  4. {
  5.     memset(fr,0,sizeof(*fr));
  7. // 接口名称
  8. if(*rule->fw_device !='\0'){
  9.         strlcpy(fr->fr_ifname, rule->fw_device, IFNAMSIZ);
  10.         strlcpy(fr->fr_oifname, rule->fw_device, IFNAMSIZ);
  11. }
  13. // 操作和方向
  14. if(rule->fw_op == FW_OP_ALLOW)
  15.         fr->fr_flags |= FR_PASS;
  16. else
  17.         fr->fr_flags |= FR_BLOCK;
  19. if(rule->fw_dir == FW_DIR_IN)
  20.         fr->fr_flags |= FR_INQUE;
  21. else
  22.         fr->fr_flags |= FR_OUTQUE;
  24. // 协议和地址
  25.     fr->fr_ip.fi_p = rule->fw_proto;
  26.     fr->fr_ip.fi_saddr = rule->fw_src.addr_ip;
  27.     fr->fr_ip.fi_daddr = rule->fw_dst.addr_ip;
  28.     addr_btom(rule->fw_src.addr_bits,&fr->fr_mip.fi_saddr, IP_ADDR_LEN);
  29.     addr_btom(rule->fw_dst.addr_bits,&fr->fr_mip.fi_daddr, IP_ADDR_LEN);
  31. // 端口和ICMP类型
  32. switch(rule->fw_proto){
  33. case IPPROTO_ICMP:
  34.         fr->fr_icmpm = rule->fw_sport[1]<<8|
  35. (rule->fw_dport[1]&0xff);
  36.         fr->fr_icmp = rule->fw_sport[0]<<8|
  37. (rule->fw_dport[0]&0xff);
  38. break;
  39. case IPPROTO_TCP:
  40. case IPPROTO_UDP:
  41.         fr->fr_sport = rule->fw_sport[0];
  42. if(rule->fw_sport[0]!= rule->fw_sport[1]){
  43.             fr->fr_scmp = FR_INRANGE;
  44.             fr->fr_stop = rule->fw_sport[1];
  45. }else
  46.             fr->fr_scmp = FR_EQUAL;
  48.         fr->fr_dport = rule->fw_dport[0];
  49. if(rule->fw_dport[0]!= rule->fw_dport[1]){
  50.             fr->fr_dcmp = FR_INRANGE;
  51.             fr->fr_dtop = rule->fw_dport[1];
  52. }else
  53.             fr->fr_dcmp = FR_EQUAL;
  54. break;
  55. }
  56. }

3. fw_open() 实现

  1. // src/fw-ipf.c:178-191
  2. fw_t*
  3. fw_open(void)
  4. {
  5. fw_t*fw;
  7. if((fw = calloc(1,sizeof(*fw)))!= NULL){
  8.         fw->fd = fw->kfd =-1;
  9. // 打开IPF设备文件
  10. if((fw->fd = open(IPL_NAME, O_RDWR,0))<0)
  11. return(fw_close(fw));
  12. // 打开内核内存
  13. if((fw->kfd = open(KMEM_NAME, O_RDONLY))<0)
  14. return(fw_close(fw));
  15. }
  16. return(fw);
  17. }

4. fwadd() 和 fwdelete() 实现

  1. // src/fw-ipf.c:193-215
  2. int
  3. fw_add(fw_t*fw,conststruct fw_rule *rule)
  4. {
  5. struct frentry fr;
  7.     assert(fw != NULL && rule != NULL);
  9.     rule_to_ipf(rule,&fr);
  11. // 使用ioctl添加规则
  12. return(ioctl(fw->fd, SIOCADDFR,&fr));
  13. }
  15. int
  16. fw_delete(fw_t*fw,conststruct fw_rule *rule)
  17. {
  18. struct frentry fr;
  20.     assert(fw != NULL && rule != NULL);
  22.     rule_to_ipf(rule,&fr);
  24. // 使用ioctl删除规则
  25. return(ioctl(fw->fd, SIOCDELFR,&fr));
  26. }

5. fw_loop() 实现（通过内核内存）

  1. // src/fw-ipf.c:217-268
  2. int
  3. fw_loop(fw_t*fw, fw_handler callback,void*arg)
  4. {
  5. struct friostat fio;
  6. struct friostat *fiop =&fio;
  7. struct frentry *frp, fr;
  8. struct fw_rule rule;
  9. int ret;
  11.     memset(&fio,0,sizeof(fio));
  12. // 获取防火墙统计信息
  13. #ifdef __OpenBSD__
  14. if(ioctl(fw->fd, SIOCGETFS, fiop)<0)
  15. #else
  16. if(ioctl(fw->fd, SIOCGETFS,&fiop)<0)/* XXX - OpenBSD差异 */
  17. #endif
  18. return(-1);
  20. // 遍历出站规则
  21. for(frp = fio.f_fout[(int)fio.f_active]; frp != NULL;
  22.         frp = fr.fr_next){
  23. if(fw_kcopy(fw,(u_char *)&fr,(u_long)frp,sizeof(fr))<0)
  24. return(-1);
  25.         ipf_to_rule(&fr,&rule);
  26. if((ret = callback(&rule, arg))!=0)
  27. return(ret);
  28. }
  30. // 遍历入站规则
  31. for(frp = fio.f_fin[(int)fio.f_active]; frp != NULL;
  32.         frp = fr.fr_next){
  33. if(fw_kcopy(fw,(u_char *)&fr,(u_long)frp,sizeof(fr))<0)
  34. return(-1);
  35.         ipf_to_rule(&fr,&rule);
  36. if((ret = callback(&rule, arg))!=0)
  37. return(ret);
  38. }
  39. return(0);
  40. }

内核内存复制：

  1. // src/fw-ipf.c:217-232
  2. staticint
  3. fw_kcopy(fw_t*fw, u_char *buf,off_t pos,size_t n)
  4. {
  5. int i;
  7. if(lseek(fw->kfd, pos,0)<0)
  8. return(-1);
  10. while((i = read(fw->kfd, buf, n))< n){
  11. if(i <=0)
  12. return(-1);
  13.         buf += i;
  14.         n -= i;
  15. }
  16. return(0);
  17. }

OpenBSD PF防火墙实现

1. 核心数据结构

  1. // src/fw-pf.c:67-69
  2. struct fw_handle {
  3. int     fd;// PF设备文件描述符
  4. };

2. PF版本兼容性处理

  1. // src/fw-pf.c:29-65
  2. /*
  3.  * XXX - 处理不断变化的PF API
  4.  */
  5. #if defined(DIOCRCLRTABLES)
  6. /* OpenBSD 3.3+ - 3.6 */
  7. #define HAVE_PF_CHANGE_GET_TICKET    1
  8. #define PFRA_ADDR(ra)(ra)->addr.v.a.addr.v4.s_addr
  9. #define PFRA_MASK(ra)(ra)->addr.v.a.mask.v4.s_addr
  10. #define pfioc_changerule   pfioc_rule
  11. #define oldrule    rule
  12. #define newrule    rule
  13. #elif defined(DIOCBEGINADDRS)
  14. /* OpenBSD 3.2 */
  15. #define PFRA_ADDR(ra)(ra)->addr.addr.v4.s_addr
  16. #define PFRA_MASK(ra)(ra)->addr.mask.v4.s_addr
  17. #elif defined(PFRULE_FRAGMENT)
  18. /* OpenBSD 3.1 */
  19. #define PFRA_ADDR(ra)(ra)->addr.addr.v4.s_addr
  20. #define PFRA_MASK(ra)(ra)->mask.v4.s_addr
  21. #elif defined (PF_AEQ)
  22. /* OpenBSD 3.0 */
  23. #define PFRA_ADDR(ra)(ra)->addr
  24. #define PFRA_ADDR(ra)(ra)->mask
  25. #endif

3. 规则转换：fwrule -> pfrule

  1. // src/fw-pf.c:71-115
  2. staticvoid
  3. fr_to_pr(conststruct fw_rule *fr,struct pf_rule *pr)
  4. {
  5.     memset(pr,0,sizeof(*pr));
  7. // 接口名称
  8.     strlcpy(pr->ifname, fr->fw_device,sizeof(pr->ifname));
  10. // 动作和方向
  11.     pr->action =(fr->fw_op == FW_OP_ALLOW)? PF_PASS : PF_DROP;
  12.     pr->direction =(fr->fw_dir == FW_DIR_IN)? PF_IN : PF_OUT;
  13.     pr->proto = fr->fw_proto;
  15. // 地址
  16.     pr->af = AF_INET;
  17.     PFRA_ADDR(&pr->src)= fr->fw_src.addr_ip;
  18.     addr_btom(fr->fw_src.addr_bits,&(PFRA_MASK(&pr->src)), IP_ADDR_LEN);
  20.     PFRA_ADDR(&pr->dst)= fr->fw_dst.addr_ip;
  21.     addr_btom(fr->fw_dst.addr_bits,&(PFRA_MASK(&pr->dst)), IP_ADDR_LEN);
  23. // 端口和ICMP类型
  24. switch(fr->fw_proto){
  25. case IP_PROTO_ICMP:
  26. if(fr->fw_sport[1])
  27.             pr->type =(u_char)(fr->fw_sport[0]&
  28.                 fr->fw_sport[1])+1;
  29. if(fr->fw_dport[1])
  30.             pr->code =(u_char)(fr->fw_dport[0]&
  31.                 fr->fw_dport[1])+1;
  32. break;
  33. case IP_PROTO_TCP:
  34. case IP_PROTO_UDP:
  35.         pr->src.port[0]= htons(fr->fw_sport[0]);
  36.         pr->src.port[1]= htons(fr->fw_sport[1]);
  37. if(pr->src.port[0]== pr->src.port[1]){
  38.             pr->src.port_op = PF_OP_EQ;
  39. }else
  40.             pr->src.port_op = PF_OP_IRG;
  42.         pr->dst.port[0]= htons(fr->fw_dport[0]);
  43.         pr->dst.port[1]= htons(fr->fw_dport[1]);
  44. if(pr->dst.port[0]== pr->dst.port[1]){
  45.             pr->dst.port_op = PF_OP_EQ;
  46. }else
  47.             pr->dst.port_op = PF_OP_IRG;
  48. break;
  49. }
  50. }

4. fw_open() 实现

  1. // src/fw-pf.c:186-196
  2. fw_t*
  3. fw_open(void)
  4. {
  5. fw_t*fw;
  7. if((fw = calloc(1,sizeof(*fw)))!= NULL){
  8. // 打开PF设备
  9. if((fw->fd = open("/dev/pf", O_RDWR))<0)
  10. return(fw_close(fw));
  11. }
  12. return(fw);
  13. }

5. fw_add() 实现

  1. // src/fw-pf.c:198-235
  2. int
  3. fw_add(fw_t*fw,conststruct fw_rule *rule)
  4. {
  5. struct pfioc_changerule pcr;
  7.     assert(fw != NULL && rule != NULL);
  8.     memset(&pcr,0,sizeof(pcr));
  10. #ifdef HAVE_PF_CHANGE_GET_TICKET
  11. // 检查规则是否已存在
  12. {
  13. struct fw_rule fr;
  15. if(ioctl(fw->fd, DIOCGETRULES,&pcr)<0)
  16. return(-1);
  17. while((int)--pcr.nr >=0){
  18. if(ioctl(fw->fd, DIOCGETRULE,&pcr)==0&&
  19.                 pr_to_fr(&pcr.rule,&fr)==0){
  20. if(_fw_cmp(rule,&fr)==0){
  21.                     errno = EEXIST;
  22. return(-1);
  23. }
  24. }
  25. }
  26. }
  27. #endif
  29. #ifdef DIOCBEGINADDRS
  30. // 获取地址池票据
  31. {
  32. struct pfioc_pooladdr ppa;
  34. if(ioctl(fw->fd, DIOCBEGINADDRS,&ppa)<0)
  35. return(-1);
  36.         pcr.pool_ticket = ppa.ticket;
  37. }
  38. #endif
  40. // 添加规则到规则集尾部
  41.     pcr.action = PF_CHANGE_ADD_TAIL;
  42.     fr_to_pr(rule,&pcr.newrule);
  44. return(ioctl(fw->fd, DIOCCHANGERULE,&pcr));
  45. }

6. fw_delete() 实现

  1. // src/fw-pf.c:237-279
  2. int
  3. fw_delete(fw_t*fw,conststruct fw_rule *rule)
  4. {
  5. struct pfioc_changerule pcr;
  7.     assert(fw != NULL && rule != NULL);
  8.     memset(&pcr,0,sizeof(pcr));
  10. #ifdef HAVE_PF_CHANGE_GET_TICKET
  11. // 查找要删除的规则
  12. {
  13. struct fw_rule fr;
  14. int found =0;
  16. if(ioctl(fw->fd, DIOCGETRULES,&pcr)<0)
  17. return(-1);
  18. while((int)--pcr.nr >=0){
  19. if(ioctl(fw->fd, DIOCGETRULE,&pcr)==0&&
  20.                 pr_to_fr(&pcr.rule,&fr)==0){
  21. if(_fw_cmp(rule,&fr)==0){
  22.                     found =1;
  23. break;
  24. }
  25. }
  26. }
  27. if(!found){
  28.             errno = ENOENT;
  29. return(-1);
  30. }
  31. }
  32. #endif
  34. #ifdef DIOCBEGINADDRS
  35. {
  36. struct pfioc_pooladdr ppa;
  38. if(ioctl(fw->fd, DIOCBEGINADDRS,&ppa)<0)
  39. return(-1);
  40.         pcr.pool_ticket = ppa.ticket;
  41. }
  42. #endif
  44. // 删除规则
  45.     pcr.action = PF_CHANGE_REMOVE;
  46.     fr_to_pr(rule,&pcr.oldrule);
  48. return(ioctl(fw->fd, DIOCCHANGERULE,&pcr));
  49. }

7. fw_loop() 实现

  1. // src/fw-pf.c:281-310
  2. int
  3. fw_loop(fw_t*fw, fw_handler callback,void*arg)
  4. {
  5. struct pfioc_rule pr;
  6. struct fw_rule fr;
  7. uint32_t n, max;
  8. int ret =0;
  10.     memset(&pr,0,sizeof(pr));
  11. // 获取规则数量
  12. if(ioctl(fw->fd, DIOCGETRULES,&pr)<0)
  13. return(-1);
  15. // 遍历规则
  16. for(n =0, max = pr.nr; n < max; n++){
  17.         pr.nr = n;
  19. if((ret = ioctl(fw->fd, DIOCGETRULE,&pr))<0)
  20. break;
  22. #ifdef PF_TABLE_NAME_SIZE
  23. // 跳过表地址规则
  24. if(pr.rule.src.addr.type == PF_ADDR_TABLE ||
  25.             pr.rule.dst.addr.type == PF_ADDR_TABLE)
  26. continue;
  27. #endif
  28. if(pr_to_fr(&pr.rule,&fr)<0)
  29. continue;
  30. if((ret = callback(&fr, arg))!=0)
  31. break;
  32. }
  33. return(ret);
  34. }

Windows PktFilter实现

1. 核心数据结构

  1. // src/fw-pktfilter.c:52-55
  2. struct fw_handle {
  3.     IP_ADAPTER_INFO *ifinfo;// 适配器信息列表
  4. /* XXX - 规则缓存用于删除查找? */
  5. };
  7. #define PKTFILTER_PIPE    "\\\\.\\pipe\\PktFltPipe"
  8. #define MAX_RULE_LENGTH  256

2. PktFilter简介

PktFilter是Windows上的防火墙实现，特点：

  • 基于命名管道通信
  • 通过PktFlt服务实现
  • 提供简单的规则语法

3. 规则格式化

  1. // src/fw-pktfilter.c:214-275
  2. staticint
  3. format_rule(conststruct fw_rule *rule,char*buf,int len)
  4. {
  5. char tmp[128];
  7. // 操作和方向
  8.     strlcpy(buf,(rule->fw_op == FW_OP_ALLOW)?"pass ":"block ", len);
  9.     strlcat(buf,(rule->fw_dir == FW_DIR_IN)?"in ":"out ", len);
  11. // 接口
  12.     snprintf(tmp,sizeof(tmp),"on %s ", rule->fw_device);
  13.     strlcat(buf, tmp, len);
  15. // 协议
  16. if(rule->fw_proto !=0){
  17.         snprintf(tmp,sizeof(tmp),"proto %d ", rule->fw_proto);
  18.         strlcat(buf, tmp, len);
  19. }
  21. // 源地址
  22. if(rule->fw_src.addr_type != ADDR_TYPE_NONE){
  23.         snprintf(tmp,sizeof(tmp),"from %s ",
  24.             addr_ntoa(&rule->fw_src));
  25.         strlcat(buf, tmp, len);
  26. }else
  27.         strlcat(buf,"from any ", len);
  29. // 源端口
  30. if(rule->fw_proto == IP_PROTO_TCP || rule->fw_proto == IP_PROTO_UDP){
  31. if(rule->fw_sport[0]== rule->fw_sport[1])
  32.             snprintf(tmp,sizeof(tmp),"port = %d ",
  33.                 rule->fw_sport[0]);
  34. else
  35.             snprintf(tmp,sizeof(tmp),"port %d >< %d ",
  36.                 rule->fw_sport[0]-1, rule->fw_sport[1]+1);
  37.         strlcat(buf, tmp, len);
  38. }
  40. // 目标地址
  41. if(rule->fw_dst.addr_type != ADDR_TYPE_NONE){
  42.         snprintf(tmp,sizeof(tmp),"to %s ",
  43.             addr_ntoa(&rule->fw_dst));
  44.         strlcat(buf, tmp, len);
  45. }else
  46.         strlcat(buf,"to any ", len);
  48. // 目标端口
  49. if(rule->fw_proto == IP_PROTO_TCP || rule->fw_proto == IP_PROTO_UDP){
  50. if(rule->fw_dport[0]== rule->fw_dport[1])
  51.             snprintf(tmp,sizeof(tmp),"port = %d",
  52.                 rule->fw_dport[0]);
  53. else
  54.             snprintf(tmp,sizeof(tmp),"port %d >< %d",
  55.                 rule->fw_dport[0]-1, rule->fw_dport[1]+1);
  56.         strlcat(buf, tmp, len);
  57. }elseif(rule->fw_proto == IP_PROTO_ICMP){
  58. if(rule->fw_sport[1]){
  59.             snprintf(tmp,sizeof(tmp),"icmp-type %d",
  60.                 rule->fw_sport[0]);
  61.             strlcat(buf, tmp, len);
  62. if(rule->fw_dport[1]){
  63.                 snprintf(tmp,sizeof(tmp)," code %d",
  64.                     rule->fw_dport[0]);
  65.                 strlcat(buf, tmp, len);
  66. }
  67. }
  68. }
  69. return(strlen(buf));
  70. }

PktFilter规则语法：

  1. passin on eth0 proto tcp from192.168.1.0/24 to any port 80
  2. block out on eth0 proto udp from any to any port 53
  3. passin on eth0 proto icmp from any to any icmp-type echo

4. 管道通信

  1. // src/fw-pktfilter.c:277-313
  2. staticchar*
  3. call_pipe(constchar*msg,int len)
  4. {
  5.     HANDLE *pipe;
  6.     DWORD i;
  7. char*reply, status;
  9. // 等待命名管道
  10. if(!WaitNamedPipe(PKTFILTER_PIPE, NMPWAIT_USE_DEFAULT_WAIT)||
  11. (pipe =CreateFile(PKTFILTER_PIPE, GENERIC_READ | GENERIC_WRITE,
  12. 0, NULL, OPEN_EXISTING,0, NULL))== INVALID_HANDLE_VALUE){
  13. return(NULL);
  14. }
  15.     reply = NULL;
  17. // 发送命令
  18. if(WriteFile(pipe, msg, len,&i, NULL)){
  19. // 接收响应
  20. if(ReadFile(pipe,&status,sizeof(status),&i, NULL)){
  21. if(status == FILTER_FAILURE){
  22. ReadFile(pipe,&status,sizeof(status),
  23. &i, NULL);
  24. }elseif(status == FILTER_MESSAGE){
  25. // 获取消息长度
  26. if(ReadFile(pipe,&len,4,&i, NULL)){
  27. // 获取消息内容
  28.                     reply = calloc(1, len +1);
  29. if(!ReadFile(pipe, reply, len,
  30. &i, NULL)){
  31.                         free(reply);
  32.                         reply = NULL;
  33. }
  34. }
  35. }elseif(status == FILTER_SUCCESS)
  36.                 reply = strdup("");/* XXX */
  37. }
  38. }
  39. CloseHandle(pipe);
  40. return(reply);
  41. }

5. fw_open() 实现

  1. // src/fw-pktfilter.c:315-352
  2. fw_t*
  3. fw_open(void)
  4. {
  5. fw_t*f;
  6.     IP_ADAPTER_INFO *ifinfo;
  7.     ULONG size;
  9. if((f = calloc(1,sizeof(*f)))== NULL)
  10. return(NULL);
  12. // 获取适配器信息
  13.     size =sizeof(*f->ifinfo);
  14.     f->ifinfo = malloc(size);
  15. if(GetAdaptersInfo(f->ifinfo,&size)!= ERROR_SUCCESS){
  16.         free(f->ifinfo);
  17.         f->ifinfo = malloc(size);
  18. GetAdaptersInfo(f->ifinfo,&size);
  19. }
  21. // 规范化接口名称
  22. for(ifinfo = f->ifinfo; ifinfo != NULL; ifinfo = ifinfo->Next){
  23. char*fmt;
  24. if(ifinfo->Type== MIB_IF_TYPE_ETHERNET)
  25.             fmt ="eth";
  26. elseif(ifinfo->Type== MIB_IF_TYPE_PPP)
  27.             fmt ="ppp";
  28. elseif(ifinfo->Type== MIB_IF_TYPE_SLIP)
  29.             fmt ="sl";
  30. elseif(ifinfo->Type== MIB_IF_TYPE_LOOPBACK)
  31.             fmt ="lo";
  32. elseif(ifinfo->Type== MIB_IF_TYPE_TOKENRING)
  33.             fmt ="tr";
  34. elseif(ifinfo->Type== MIB_IF_TYPE_FDDI)
  35.             fmt ="fd";
  36. else
  37.             fmt ="if";
  38.         sprintf(ifinfo->AdapterName,"%s%lu", fmt, ifinfo->ComboIndex);
  39. }
  40. return(f);
  41. }

6. fw_add() 实现

  1. // src/fw-pktfilter.c:354-366
  2. int
  3. fw_add(fw_t*f,conststruct fw_rule *rule)
  4. {
  5. char*p, buf[MAX_RULE_LENGTH];
  6. int len;
  8. // 格式化规则
  9.     len = format_rule(rule, buf,sizeof(buf));
  11. // 通过管道发送规则
  12. if((p = call_pipe(buf, len))== NULL)
  13. return(-1);
  14.     free(p);
  15. return(0);
  16. }

7. fw_delete() 实现

  1. // src/fw-pktfilter.c:368-405
  2. int
  3. fw_delete(fw_t*f,conststruct fw_rule *rule)
  4. {
  5. struct fw_rule tmp;
  6. char*p,*line,*msg, cmd[128], buf[MAX_RULE_LENGTH];
  7. int n, ruleno, len;
  9.     format_rule(rule, buf,sizeof(buf));
  11. // 列出规则
  12.     len = snprintf(cmd,sizeof(cmd),"List on %s", rule->fw_device);
  13. if((msg = call_pipe(cmd, len))== NULL)
  14. return(-1);
  16. // 查找匹配的规则
  17. for(ruleno =0, p = msg;(line = strsep(&p,"\r\n"))!= NULL;){
  18. if(strncmp(line,"rule ",5)==0){
  19.             line +=5;
  20.             n = atoi(strsep(&line,":"));
  21. if(parse_rule(line +1,&tmp)==0&&
  22.                 memcmp(&tmp, rule,sizeof(tmp))==0){
  23.                 ruleno = n;
  24. break;
  25. }
  26. }
  27. }
  28.     free(msg);
  29. if(ruleno ==0){
  30.         errno = ENXIO;
  31. SetLastError(ERROR_NO_DATA);
  32. return(-1);
  33. }
  35. // 删除规则
  36.     len = snprintf(cmd,sizeof(cmd),"delete %d on %s",
  37.         ruleno, rule->fw_device);
  38. if((p = call_pipe(cmd, len))== NULL)
  39. return(-1);
  40.     free(p);
  42. return(0);
  43. }

模块对比与最佳实践

1. 以太网模块对比

特性
Linux (PF_PACKET)
BSD (BPF)
Solaris (DLPI)
Windows
实现方式
原始套接字
设备文件
STREAMS
N/A
设备绑定
SIOCGIFINDEX
BIOCSETIF
DLATTACHREQ
–
获取MAC
SIOCGIFHWADDR
sysctl
DLPHYSADDR_REQ
GetAdaptersInfo
设置MAC
SIOCSIFHWADDR
SIOCSIFLLADDR
DLSETPHYSADDRREQ
–
发送帧
sendto()
write()
putmsg()
–
性能
高
高
中
–

2. 防火墙模块对比

特性
IPFW
ipchains
IPF
PF
PktFilter
操作方式
setsockopt
setsockopt
ioctl
ioctl
管道
规则存储
内核
/proc
/dev/kmem
内核
服务
规则获取
getsockopt
/proc解析
读取内存
ioctl
管道
状态跟踪
无
无
有
有
无
性能
中
中
高
高
低

3. 使用最佳实践

以太网模块

  1. // 1. 正确的错误处理
  2. eth_t*eth = eth_open("eth0");
  3. if(eth == NULL){
  4. if(errno == EPERM){
  5.         fprintf(stderr,"需要root权限\n");
  6. }else{
  7.         perror("eth_open失败");
  8. }
  9.     exit(EXIT_FAILURE);
  10. }
  12. // 2. 构造以太网帧
  13. struct eth_hdr hdr;
  14. eth_pack_hdr(&hdr, dst_mac, src_mac, ETH_TYPE_IP);
  16. // 3. 发送数据包
  17. ssize_t sent = eth_send(eth,&hdr,sizeof(hdr));
  18. if(sent <0){
  19.     perror("eth_send失败");
  20. }
  22. // 4. 清理资源
  23. eth_close(eth);

防火墙模块

  1. // 1. 构造规则
  2. struct fw_rule rule;
  3. memset(&rule,0,sizeof(rule));
  4. strcpy(rule.fw_device,"eth0");
  5. rule.fw_op = FW_OP_ALLOW;
  6. rule.fw_dir = FW_DIR_IN;
  7. rule.fw_proto = IP_PROTO_TCP;
  8. addr_aton("192.168.1.0/24",&rule.fw_src);
  9. rule.fw_dport[0]= rule.fw_dport[1]=80;
  11. // 2. 打开防火墙
  12. fw_t*fw = fw_open();
  13. if(fw == NULL){
  14.     perror("fw_open失败");
  15.     exit(EXIT_FAILURE);
  16. }
  18. // 3. 添加规则
  19. if(fw_add(fw,&rule)<0){
  20.     perror("fw_add失败");
  21.     fw_close(fw);
  22.     exit(EXIT_FAILURE);
  23. }
  25. // 4. 清理资源
  26. fw_close(fw);

4. 性能优化建议

以太网发送优化：

  1. 批量发送：使用writev而非多次write
  2. 缓冲区调整：设置适当的SO_SNDBUF
  3. 零拷贝：考虑使用mmap或sendfile

防火墙规则优化：

  1. 规则顺序：将最常用的规则放在前面
  2. 规则聚合：使用CIDR聚合相似规则
  3. 状态检测：优先使用状态跟踪

5. 安全注意事项

  1. 权限管理：
  • 以最小权限原则运行
  • 完成特权操作后立即降级
  1. 输入验证：
  • 验证MAC地址格式
  • 检查接口名称合法性
  • 验证防火墙规则参数
  1. 错误处理：
  • 不泄露敏感信息
  • 记录安全事件
  • 优雅地处理失败

总结

本文档深入分析了libdnet以太网和防火墙模块的跨平台实现：

以太网模块：

  • Linux使用PF_PACKET套接字
  • BSD使用BPF设备文件
  • Solaris使用DLPI STREAMS接口
  • 每个平台都提供了统一的API

防火墙模块：

  • 支持多种防火墙系统（IPFW、ipchains、IPF、PF、PktFilter）
  • 通过转换层统一不同防火墙的规则格式
  • 使用平台特定的通信机制（setsockopt、ioctl、管道）

通过理解这些底层实现，开发者可以：

  1. 更好地调试网络问题
  2. 优化性能瓶颈
  3. 选择合适的平台特性
  4. 编写更可靠的代码

  • 公众号:安全狗的自我修养

  • vx:2207344074

  • http://gitee.com/haidragon

  • http://github.com/haidragon

  • bilibili:haidragonx