|
連接跟蹤系統(tǒng)的初始化流程分析 有了前面的知識(shí)，我們?cè)俜治鲞B接跟蹤系統(tǒng)的初始化ip_conntrack_standalone_init()函數(shù)就太容易不過(guò)了。還是先上ip_conntrack_standalone_init()函數(shù)的流程圖：
該函數(shù)的核心上圖已經(jīng)標(biāo)出來(lái)了“初始化連接跟蹤系統(tǒng)”和“注冊(cè)連接跟蹤的hook函數(shù)”。其他兩塊這里簡(jiǎn)單做個(gè)普及，不展開(kāi)講。至少讓大家明白連接跟蹤為什么需要兩中文件系統(tǒng)。 1、 procfs(/proc文件系統(tǒng)) 這是一個(gè)虛擬的文件系統(tǒng)，通常掛載在/proc，允許內(nèi)核以文件的形式向用戶空間輸出內(nèi)部信息。該目錄下的所有文件并沒(méi)有實(shí)際存在在磁盤里，但可以通過(guò)cat、more或>shell重定向予以寫入，這些文件甚至可以像普通文件那樣指定其讀寫權(quán)限。創(chuàng)建這些文件的內(nèi)核組件可以說(shuō)明任何一個(gè)文件可以由誰(shuí)讀取或?qū)懭?。但是?b>用戶不能在/proc目錄下新增，移除文件或目錄。 2、 sysctl(/proc/sys目錄) 此接口允許用戶空間讀取或修改內(nèi)核變量的值。不能用此接口對(duì)每個(gè)內(nèi)核變量進(jìn)行操作：內(nèi)核應(yīng)該明確指出哪些變量從此接口對(duì)用戶空間是可見(jiàn)的。從用戶空間，你可以用兩種方式訪問(wèn)sysctl輸出的變量：sysctl系統(tǒng)調(diào)用接口；procfs。當(dāng)內(nèi)核支持procfs文件系統(tǒng)時(shí)，會(huì)在/proc中增加一個(gè)特殊目錄(/proc/sys)，為每個(gè)由sysctl所輸出的內(nèi)核變量引入一個(gè)文件，我們通過(guò)對(duì)這些文件的讀寫操作就可以影響到內(nèi)核里該變量的值了。 除此之外還有一種sysfs文件系統(tǒng)，這里就不介紹了，如果你感興趣可以去研讀《Linux設(shè)備驅(qū)動(dòng)程序》一書的詳細(xì)講解。 那么回到我們連接跟蹤系統(tǒng)里來(lái)，由此我們可以知道：連接跟蹤系統(tǒng)向用戶空間輸出一些內(nèi)核變量，方便用戶對(duì)連接跟蹤的某些特性加以靈活控制，如改變最大連接跟蹤數(shù)、修改TCP、UDP或ICMP協(xié)議的連接跟蹤超時(shí)是時(shí)限等等。 注意一點(diǎn)：/proc/sys目錄下的任何一個(gè)文件名，對(duì)應(yīng)著內(nèi)核中有一個(gè)一模一樣同名的內(nèi)核變量。例如，我的系統(tǒng)中該目錄是如下這個(gè)樣子：
ip_conntrack_init()函數(shù) 該函數(shù)承擔(dān)了連接跟蹤系統(tǒng)初始化的絕大部分工作，其流程我們也畫出來(lái)了，大家可以對(duì)照源碼來(lái)一步一步分析。 第一步：連接跟蹤的表大小跟系統(tǒng)內(nèi)存相關(guān)，而最大連接跟蹤數(shù)和連接跟蹤表容量的關(guān)系是：最大連接跟蹤數(shù)=8×連接跟蹤表容量。代碼中是這樣的： ip_conntrack_max = 8 × ip_conntrack_htable_size;那么從上面的圖我們可以看出來(lái)，我們可以通過(guò)手工修改/proc/sys/net/ipv4/netfilter目錄下同名的ip_conntrack_max文件即可動(dòng)態(tài)修改連接系統(tǒng)的最大連接跟蹤數(shù)了。 第二步：注冊(cè)Netfilter所用的sockopt，先不講，以后再說(shuō)。只要知道是這里注冊(cè)的就行了。 第三步：為連接跟蹤hash表ip_conntrack_hash分配內(nèi)存并進(jìn)行初始化。并創(chuàng)建連接跟蹤和期望連接跟蹤的高速緩存。 第四步：將TCP、UDP和ICMP協(xié)議的連接跟蹤協(xié)議體，根據(jù)不同協(xié)議的協(xié)議號(hào)，注冊(cè)到全局?jǐn)?shù)組ip_ct_protos[]中，如下所示：
最后再做一些善后工作，例如注冊(cè)DROP這個(gè)target所需的功能函數(shù)，為其他諸如NAT這樣的模塊所需的參數(shù)ip_conntrack_untracked做初始化，關(guān)于這個(gè)參數(shù)我們?cè)?/span>NAT模塊中再詳細(xì)討論它。 這樣，我們連接跟蹤系統(tǒng)的初始化工作就算徹底完成了。有了前幾篇關(guān)于連接跟蹤的基礎(chǔ)知識(shí)，再看代碼是不是有種神清氣爽，豁然開(kāi)朗的感覺(jué)。 至于連接跟蹤系統(tǒng)所提供的那五個(gè)hook函數(shù)的注冊(cè)，我想現(xiàn)在的你應(yīng)該連都不用看就知道它所做的事情了吧。 |
|
|
