1.Linux 内核观测技术BPF
2.iptables防火墙服务
3.有几种方法可以进入防火墙?包过包它们又有哪些区别呢?
4.eBPF 实践教程: 通过 socket 或 syscall 追踪 HTTP 等七层协议
5.通过Linux内核协议栈netfilter拦截数据报文
6.Linux中的防火墙(Netfilter、Iptables、滤源Firewalld)

Linux 内核观测技术BPF

       Linux内核中的观测技术BPF，简称伯克利数据包过滤器，过滤最初是依据源地为了提升网络包过滤性能而设计的。随着时间发展，包过包交友网页源码下载BPF演变为一个通用执行引擎，滤源可在系统和应用程序事件触发时运行定制代码，码包让内核具备高度可编程性。过滤BPF由指令集、依据源地存储对象和辅助函数构成，包过包具备两种执行机制：解释器和即时编程器，滤源执行前需通过验证器安全检查。码包

       BPF验证器是过滤关键环节，确保只有经过审查的依据源地代码才能在内核中运行。它通过静态分析和指令预执行检查来保证程序安全，避免死循环和内存访问错误。尾部调用允许BPF程序之间进行协作，但信息共享需借助BPF映射，BPF映射是一种在内核和用户空间之间共享数据的机制。

       要使用BPF，推荐升级到5系内核，通过命令获取系统版本或源码，然后安装依赖环境。BPF程序通常用C语言编写，通过LLVM编译成内核可执行的代码。例如，可以编写一个在execve系统调用时输出"Hello, World, BPF!"的程序。

       BPF映射是持久化的，但4.4版本之前有指令数量限制，5.2版本后有所放宽。创建映射需要调用bpf_create_map系统调用，映射类型包括哈希表等。BPF提供了CRUD操作，如插入、查找和删除元素，以及遍历映射的功能。

       BPF还支持跟踪和探针功能，合并选股公式源码用于收集数据进行分析和调试。内核探针在指令执行时插入代码，用户空间探针则在用户程序特定指令执行时触发。例如，可以使用Python和BPF进行内核命令名称跟踪或使用Go语言编写用户空间探针统计函数执行时间。

       在使用BPF过程中，可能遇到如“Option ‘openmp-ir-builder-optimistic-attributes’ registered more than once!”这类问题，解决方法是重新编译BCC。以上就是Linux内核观测技术BPF的详细介绍和相关操作示例。

iptables防火墙服务

       一、iptables防火墙介绍

       1、iptables是开放源代码的自由包过滤防火墙工具。

       2、主要工作在OSI七层的二、三、四层。

       二、iptables防火墙概念知识

       1、容器：防火墙服务，用于存放防火墙功能。

       2、表：防火墙功能表，包含多个功能。

       ①、filter表（过滤）：进行包过滤处理。

       ②、nat表（映射）：数据地址映射。

       ③、mangle表（标记）：数据报信息修改。

       ④、raw表（拆解）：标记信息拆解。

       3、链：具体功能说明，装入到表中。

       INPUT链：对流入数据进行过滤。

       FORWARD链：流经数据过滤。

       OUTPUT链：流出数据过滤。微信环境搭建源码

       POSTROUTING链：路由后映射。

       PREROUTING链：路由前映射。

       OUTPUT链：数据包映射。

       4、规则：防火墙处理数据包的方式，装入链中。

       三、iptables防火墙工作原理

       1、层层过滤，按照配置规则顺序执行。

       2、匹配规则后，明确表示阻止或通过，不再匹配。

       3、未明确规则，继续匹配。

       4、默认规则是所有规则执行完毕后执行。

       四、iptables防火墙信息命令使用

       (一)、iptables命令（查看配置信息）

       -L：显示规则信息。

       -n：以数字形式显示地址或端口。

       -v：详细配置信息。

       -t：指定查看表信息。

       (二)、配置

       1、初始化：删除所有规则，清除计数器，删除用户链。

       2、包过滤配置（filter表）：阻止ssh远程服务，配置规则、协议、端口等。

       五、企业配置思路

       1、均线变色的源码保存默认配置。

       2、初始化配置，重新配置规则。

       3、确认远程连接通畅。

       4、修改filter表默认规则。

       5、考虑禁ping功能。

       6、设置白名单。

       7、实现NAT映射。

       8、保存配置。

有几种方法可以进入防火墙?它们又有哪些区别呢?

       一，如果是按物理上分，可以分为硬件防火墙（比如思科的ASA），和软件防火墙（比如WINDOWS系统本身自的防火墙）

       二，如果是按照原理分，可以分为包过滤（这是第一代），应用代理（第二代），状态监视（第三代）

       包过滤的原理也是特点：

       这是第一代防火墙，又称为网络层防火墙，在每一个数据包传送到源主机时都会在网络层进行过滤，对于不合法的数据访问，防火墙会选择阻拦以及丢弃。这种防火墙的连接可以通过一个网卡即一张网卡由内网的IP地址，又有公网的IP地址和两个网卡一个网卡上有私有网络的IP地址，另一个网卡有外部网络的IP地址。

       包过滤的缺点，有一攻击是无法防护，比如DDOS等。

       应用代理的原理也是特点：

       应用程序代理防火墙又称为应用层防火墙，工作于OSI的应用层上。应用程序代理防火墙实际上并不允许在它连接的猫编程源码怎么升级网络之间直接通信。相反，它是接受来自内部网络特定用户应用程序的通信，然后建立于公共网络服务器单独的连接。

       应用代理的缺点是速度相比慢一些。

       状态监视的原理也是特点：

       应用程序代理防火墙又称为应用层防火墙，工作于OSI的应用层上。应用程序代理防火墙实际上并不允许在它连接的网络之间直接通信。相反，它是接受来自内部网络特定用户应用程序的通信，然后建立于公共网络服务器单独的连接。

       相对而言状态监视是比较不错的，就缺点而言，就是技术复杂，有时过于机械，不灵活。

eBPF 实践教程: 通过 socket 或 syscall 追踪 HTTP 等七层协议

       在现代技术环境中，可观测性对确保微服务和云原生应用的健康、性能和安全至关重要。特别是随着服务组件分布于多容器和服务器，传统的监控手段难以全面掌握系统行为。因此，追踪HTTP、gRPC、MQTT等七层协议变得至关重要，因为它们揭示了应用间的交互细节。

       eBPF技术在此时崭露头角，它允许开发者和运维人员深入内核层面，实时分析系统行为，而无需在应用代码中插入额外的监控代码，实现了无侵入式的可观测性。通过本实践教程，我们将探讨如何使用eBPF的socket filter和syscall追踪技术，有效监控七层协议，尤其是在微服务架构中。

       eBPF的socket filter是内核级的数据包过滤工具，适合直接操作套接字数据，而syscall追踪则关注系统调用，提供更全面的交互上下文。这两种方法各有优势，socket filter更直接，而syscall追踪则揭示更广泛的应用行为。

       通过eBPF的socket filter，我们可以编写内核代码来捕获HTTP流量，示例代码展示了如何解析以太网、IP和TCP头部，以识别HTTP请求。尽管存在跨数据包URL处理的挑战，但通过缓存和组装逻辑，可以解决这个问题。

       用户态代码则通过创建raw socket并附加eBPF程序来集成这些功能，例如创建web服务器并使用curl发送请求，eBPF程序会捕获并打印出HTTP请求内容。

       eBPF的syscall追踪则涉及hook系统调用如accept和read，以获取更全面的请求追踪。完整的代码示例和源码可以在GitHub仓库中获取。

       总结来说，本文详细介绍了如何利用eBPF技术来追踪七层协议，包括其在微服务环境中的应用和实践中可能遇到的问题。通过学习和实践，开发者可以提升对网络流量和系统行为的理解，从而优化应用程序性能和安全。访问我们的教程代码或网站获取更多资源。

通过Linux内核协议栈netfilter拦截数据报文

       通过内核模块的方式向netfilter框架注册钩子函数，实现简单的数据包转发调试，当有数据包经过Linux协议栈时，打印相关信息。目的在于熟悉netfilter框架的基础api，为后续开发防火墙等功能做准备。

       netfilter简介：netfilter是由Rusty Russell提出的Linux 2.4内核防火墙框架，该框架既简洁又灵活，可实现安全策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、透明代理、动态网络地址转换（Network Address Translation，NAT），以及基于用户及媒体访问控制（Media Access Control，MAC）地址的过滤和基于状态的过滤、包速率限制等。

       网卡转发包流程：以下为网口收包到转发的流程，NF_HOOK位置为netfilter钩子。

       netfilter框架流程：netfilter是Linux协议栈的一个子系统，用于数据报文的过滤。在路由器设备中，数据报文的来源和去向有很多场景。比如转发数据、本地发出的数据、访问设备本身的数据等，可以通过下图简单了解基本流程。

       netfilter钩子注册：netfilter为通用的框架，Linux系统已经内建了常用的钩子。netfilter和iptables命令时密切相关的，iptables命令的最终实现是基于netfilter，比如filter表、nat表、mangle表的各个链的实现，都在netfilter源码中找到具体实现，这里就不一一讲解。

       netfilter外部接口：我们可以通过以下接口注册和卸载钩子函数，在钩子函数中可以将数据报文解析出来进行处理，比如过滤。

       接口列表注册结构体定义结构体参数说明hooknum可配置的值priority可配置的值：priority可以配置任意整数的，因为系统有默认的钩子，定义了一些参考值，我们开发过程中一般在系统priority的基础上进行加减操作，用于标记自己加入钩子的位置以下为系统定义的优先级。

       下面我们写一个实例，通过打印数据包信息，看看数据包的走向 代码中，我们定义hook_ops数组，包含3个钩子实体 forward_hook、forward_hook2、local_in_hook，其中前两个为forward钩子，但挂载的优先级不一样，我们可以通过打印看到，优先级情况，而local_in_hook为访问设备本身的数据，通过ip地址我们可以很方便查看是否是我们想要的结果。

       钩子实例ops注册实例编译运行：环境 代码：OpenWrt . 或其他版本OpenWrt分支版本，linux内核5.4.xx版本 编译环境: ubuntu 运行环境： OpenWrt系统（内核版本和编译模块版本一致） 编译 将源码包拷贝到OpenWrt package目录，make menuconfig选择kmod-netfilter_hook并保存。

       编译完成后会在build_dir子目录生成netfilter_hook.ko文件，将该文件通过winscp工具传输到OpenWrt开发板（路由器）中 然后执行以下命令：

       保证开发板能够通过wan口连接外网，并接入一台pc到lan口，pc分别访问设备和外网。

       测试结果开源作品：github.com/destan/Ope...

Linux中的防火墙(Netfilter、Iptables、Firewalld)

       Linux防火墙管理主要涉及Netfilter、Iptables和Firewalld三种技术。Netfilter作为内核级的包过滤引擎，通过五个规则链（如INPUT和OUTPUT）控制数据包在传输路径中的五个控制关卡。Iptables作为工具，将过滤规则写入内核，利用Netfilter进行数据包过滤，但并不具备过滤功能。Firewalld则以XML格式的配置文件管理规则，提供公共区域（如public）的自动激活和动态添加/移除服务或端口的能力，如通过firewall-cmd命令进行操作。

       Netfilter的规则链包括PREROUTING、INPUT、OUTPUT、FORWARD和POSTROUTING，规则表则有filter、raw、mangle和nat，它们遵循特定的匹配顺序。Iptables规则的添加、删除和查看可通过-A、-I、-D、-F和-L等命令实现。为了使规则永久生效，需要在重启服务或系统时保存和加载配置。

       Firewalld作为RHEL7的默认防火墙，与iptables不同，它通过zone来管理规则，并支持更复杂的配置，如端口转发。在RHEL7中，通常会选择关闭iptables而启用firewalld，以利用其更全面的功能。

       学习Linux防火墙时，可以参考内核源码、内存调优、文件系统等其他方面的教程，并加入学习交流群获取更多资源。

IPTABLES相关应用

       对于IPTABLES的编译和应用，许多人对其都非常熟悉并常用。我在深入研究其拓展功能后，对其功能有了更深入的理解，比如comment（添加备注）、string（字符串匹配）、iprang（IP范围匹配）等众多实用特性。这些功能在如RH7.3和RH9.0的kernel2.4.-3和2.4.-8版本中都成功实现了。以下是一些具体的操作步骤和功能介绍。

       首先，需要准备与当前内核版本匹配的原码。如果使用的是rh9.0 kernel2.4.-8，可以检查当前版本并下载或安装对应的kernel-source包。然后，进入内核源码目录，修改Makefile的EXTRAVERSION以匹配你的内核版本。

       接下来，进行内核源码的处理，包括运行'make mrproper'和'make oldconfig'来清理和配置内核。旧配置文件很有用，可以复制安装时的配置文件来帮助选择选项。之后，对netfilter进行补丁应用，根据需要选择特定的模块，如string、comment、connlimit等，并逐个进行测试和安装。

       只编译netfilter模块是必要的，选择ipv4模块后，执行'make modules'命令。为了保险，可以备份原有模块并应用新编译的模块。编译完成后，记得更新modules.dep文件。最后，解压并编译安装新的iptables，设置适当的安装路径。

       安装完成后，可以进行测试，确保新功能已成功集成到iptables中，然后根据需求进行实际应用。

扩展资料

       iptables 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。