【转帖LINUX】netfilter中的conntrack内核阅读笔记(1)
2008-07-07 22:04状 态检测(stateful inspection)是由CheckPoint公司最先提出的，可算是防火墙技术的一项突破性变革，把包过滤的快速性和代理的安全性很好地结合在一起， 目前已经是防火墙最流行的检测方式。状态检测的根本思想是对所有网络数据建立“连接”的概念，此“连接”是面向“连接”的协议之“连接”的扩展，对非连接 协议数据也可以建立虚拟连接。既然是连接，必然是有一定的顺序的，通信两边的连接状态也是有一定顺序进行变化的。防火墙的状态检测就是事先确定好连接的合 法过程模式，如果数据过程符合这个模式，则说明数据是合法正确的，否则就是非法数据，应该被丢弃。
2.6内核的Linux中的防火墙代码netfilter中实现了状态检测 (stateful inspection)检测技术：Linux为每一个经过网络堆栈的数据包，生成一个新的连接记录项（Connection entry）。此后，所有属于此连接的数据包都被唯一地分配给这个连接，并标识连接的状态。linux在netfilter的hook点上为 contrack定义了如下几个挂接点，用来处理流经的ip包：
NF_IP_PRE_ROUTING ： ip_conntrack_defrag -> ip_conntrack_in
NF_IP_LOCAL_IN ： ip_conntrack_help -> ip_confirm
NF_IP_LOCAL_OUT ： ip_conntrack_defrag -> ip_conntrack_local
NF_IP_POST_ROUTING ：ip_conntrack_help -> ip_confirm
其中ip_contrack_defrag用来处理报文分 片；ip_conntrack_in和ip_conntrack_local(内部调用ip_conntrack_in)用于conntrack为每个连 接建立模式记录，ip_conntrack，并判断报文是否符合合法的模式，不符合则丢弃；ip_conntrack_help是针对使用动态协议和端口 的连接设计的数据结构，如一个ftp连接针对数据流和控制流分别用到了两个端口，；ip_confirm判断报文所属的模式ip_conntrack是否 已经存在系统哈希中，否则加入到系统的hash中。
Netfilter使用一张全局hash表来定义报文的连接状态，它定义在ip_conntrack_core.c中，用指针struct list_head *ip_conntrack_hash来描述该表。这个hash表的大小是有限制的，在模块装载的时候确定，可以由用户指定，由ip_con
相关文档：
是要有几个阶段的。 开始看ulk,
ulk最好的地方就是他所倡导的学习方法特别好。当你想学习某方面时，先看头文件，在没把每个数据结构中的每个数据元素弄清楚之前不要看实现代码。
读完头文件，意味着其中的组织关系跟别的地方的联系就清楚了，这时候你去看实现的代码你会发现他已经做的正是你所想的。
跟着ulk把这些基本� ......
FreeBSD是一个完整的操作系统，包含了从开发工具到各种各样的应用程序。
目前人们认为FreeBSD在稳定性和网络运作上的性能要优于Linux。
它由一个软件开发的核心团队来维护，整个原始程序代码会有组织地进行更新，所以程序代码比较有一致性。
由于人们对FreeBSD的认识比较少，使用范围也比较小，导致了它在对一些新产品 ......
指令名称 : chmod
使用权限 : 所有使用者
使用方式 : chmod [-cfvR] [--help] [--version] mode file...
说明 : Linux/Unix 的档案调用权限分为三级 : 档案拥有者、群组、其他。利用 chmod 可以藉以控制档案如何被他人所调用。
参数 :
mode : 权限设定字串，格式如下 : [ugoa...][[+-=][rwxX]...][,...]，其中
......
4. Threads
To use the POSIX standard thread API (pthreads), link libpthread.so
to your program.
4.1. Thread Creation
Each thread in a process is identified by a thread ID,
pthread_t.
The pthread_self function returns the thread ID of the current
thread.
This thread IDs can be compared ......
