Linux实现Cisco风格ACL之空想
来源:互联网 发布:算法第四版mobi百度云 编辑:程序博客网 时间:2024/06/11 10:43
本来上周末想实现一个Cisco风格的Linux版本ACL,也就是说将rule绑定在Interface上而不是HOOK点,然而发现net_device的private data非常不好用,就把半拉子工作仍在那里了...其实即使实现了Cisco风格的ACL,还是基于Netfilter实现的,然而FORWARD上的ruleset就简单多了,变成了下面这个样子:
这样效率的提供就不依赖iptables规则的配置顺序了,如果该接口上没有配置ruleset,则直接就ACCEPT了,将Interface从普通match提升到了一个ruleset宿主的位置。
Cisco以接口的入站和出站方向控制所有流量,而Netfilter则在协议栈的5个位置控制所有流量,接口对于它来讲仅仅是一个match。无论在配置,在理解还是在效率上,Cisco的方式都更胜一筹,这一点上,Cisco真正的将用户配置接口和内部实现相分离了,实际上,Cisco IOS的内部实现估计也是类似Netfiler的那种。Netfilter就很不同,它的实现和iptables用户接口(ipt只是Netfilter的用户接口之一,很多其它机制也是Netfilter实现的,比如ipvs等)基本是一致的,初学者不得不彻底理解这5个HOOK,理解Chain,table等概念才能写出正确高效的规则。ipt的使用者无法集中精力去针对数据包做规则,不得不花费大量时间和精力来摆平ipt的chain,table,顺序之间的关系......
static unsigned intipt_hook(unsigned int hook, struct sk_buff *skb, const struct net_device *in, const struct net_device *out, int (*okfn)(struct sk_buff *)){ struct ruleset *rs = (struct ruleset *)get_obj(in->private, IDX_RULESET); if(rs == NULL) return NF_ACCEPT; return rule_XXX(rs, hook, skb, in, out, okfn);}
这样效率的提供就不依赖iptables规则的配置顺序了,如果该接口上没有配置ruleset,则直接就ACCEPT了,将Interface从普通match提升到了一个ruleset宿主的位置。
Cisco以接口的入站和出站方向控制所有流量,而Netfilter则在协议栈的5个位置控制所有流量,接口对于它来讲仅仅是一个match。无论在配置,在理解还是在效率上,Cisco的方式都更胜一筹,这一点上,Cisco真正的将用户配置接口和内部实现相分离了,实际上,Cisco IOS的内部实现估计也是类似Netfiler的那种。Netfilter就很不同,它的实现和iptables用户接口(ipt只是Netfilter的用户接口之一,很多其它机制也是Netfilter实现的,比如ipvs等)基本是一致的,初学者不得不彻底理解这5个HOOK,理解Chain,table等概念才能写出正确高效的规则。ipt的使用者无法集中精力去针对数据包做规则,不得不花费大量时间和精力来摆平ipt的chain,table,顺序之间的关系......
- Linux实现Cisco风格ACL之空想
- cisco acl
- cisco ACL
- Cisco与Linux的NAT-Linux实现Cisco风格的NAT
- CISCO路由器安全之反射ACL
- Linux之ACL权限
- Linux之ACL权限
- Linux之ACL权限
- Linux之ACL权限
- Linux的Netfilter框架深度思考-对比Cisco的ACL
- Linux的Netfilter框架深度思考-对比Cisco的ACL-
- Linux的Netfilter框架深度思考-对比Cisco的ACL-
- Linux netfilter 深度解析-对比Cisco 的ACL
- Linux的Netfilter框架深度思考-对比Cisco的ACL
- Linux的Netfilter框架深度思考-对比Cisco的ACL-
- Linux的Netfilter框架深度思考-对比Cisco的ACL-
- Linux的Netfilter框架深度思考-对比Cisco的ACL-
- Linux的Netfilter框架深度思考-对吧Cisco的ACL-
- 第十天:Editor是怎么打开文件和保存文件的
- SSH下中文乱码解决
- 编辑器更新中国移动跨平台开发组件(英文简称UDE)
- Qt 实现无标题窗口的移动
- SDWebImage库的理解
- Linux实现Cisco风格ACL之空想
- 中断处理过程
- 经典网页设计:超炫的动画效果单页网站设计
- JAVA从入门到精通-面向对象05
- 为啥spinlock里面不能sleep
- LAMP环境的搭建
- UVa 10010 - Where's Waldorf?
- ubuntu 窗口没有了“关闭”“最小化”“最大化“按钮
- 试图搞懂MDK程序下载到flash(六)--DNW+supervivi+MDK下载到Nand Flash