Linux系統(tǒng)中的Netfilter提供了一個(gè)抽象、通用化的框架，該框架定義的一個(gè)子功能的實(shí)現(xiàn)就是包過(guò)濾子系統(tǒng)，框架包含以下五部分：

1. 為每種網(wǎng)絡(luò)協(xié)議(IPv4、IPv6等)定義一套鉤子函數(shù)(IPv4定義了5個(gè)鉤子函數(shù)), 這些鉤子函數(shù)在數(shù)據(jù)報(bào)流過(guò)協(xié)議棧的幾個(gè)關(guān)鍵點(diǎn)被調(diào)用。在這幾個(gè)點(diǎn)中，協(xié)議棧將把數(shù)據(jù)報(bào)及鉤子函數(shù)標(biāo)號(hào)作為參數(shù)調(diào)用Netfilter框架。

2. 內(nèi)核的任何模塊可以對(duì)每種協(xié)議的一個(gè)或多個(gè)鉤子進(jìn)行注冊(cè)，實(shí)現(xiàn)掛接，這樣當(dāng)某個(gè)數(shù)據(jù)包被傳遞給Netfilter框架時(shí)，內(nèi)核能檢測(cè)是否有任何模塊對(duì)該協(xié)議和鉤子函數(shù)進(jìn)行了注冊(cè)。若注冊(cè)了，則調(diào)用該模塊的注冊(cè)時(shí)使用的回調(diào)函數(shù)，這樣這些模塊就有機(jī)會(huì)檢查(可能還會(huì)修改)該數(shù)據(jù)包、丟棄該數(shù)據(jù)包及指示Netfilter將該數(shù)據(jù)包傳入用戶空間的隊(duì)列。

3 .那些排隊(duì)的數(shù)據(jù)包是被傳遞給用戶空間的異步地進(jìn)行處理。一個(gè)用戶進(jìn)程能檢查數(shù)據(jù)包，修改數(shù)據(jù)包，甚至可以重新將該數(shù)據(jù)包通過(guò)離開內(nèi)核的同一個(gè)鉤子函數(shù)中注入到內(nèi)核中。

4. 任何在IP層要被拋棄的IP數(shù)據(jù)包在真正拋棄之前都要進(jìn)行檢查。例如允許模塊檢查IP-Spoofed包(被路由拋棄)。

5.IP層的五個(gè)HOOK點(diǎn)的位置如下所示：

(1)NF_IP_PRE_ROUTING：剛剛進(jìn)入網(wǎng)絡(luò)層的數(shù)據(jù)包通過(guò)此點(diǎn)(剛剛進(jìn)行完版本號(hào)，校驗(yàn) 和等檢測(cè))，源地址轉(zhuǎn)換在此點(diǎn)進(jìn)行;IP_Input.c中IP_Rcv調(diào)用;

(2)NF_IP_LOCAL_IN：經(jīng)路由查找后，送往本機(jī)的通過(guò)此檢查點(diǎn)，INPUT包過(guò)濾在此點(diǎn)進(jìn)行，IP_local_deliver中調(diào)用;

(3)NF_IP_FORWARD：要轉(zhuǎn)發(fā)的包通過(guò)此檢測(cè)點(diǎn)，F(xiàn)ORWORD包過(guò)濾在此點(diǎn)進(jìn)行;

(4)NF_IP_POST_ROUTING：所有馬上便要通過(guò)網(wǎng)絡(luò)設(shè)備出去的包通過(guò)此檢測(cè)點(diǎn)，內(nèi)置的目的地址轉(zhuǎn)換功能(包括地址偽裝)在此點(diǎn)進(jìn)行;

(5)NF_IP_LOCAL_OUT：本機(jī)進(jìn)程發(fā)出的包通過(guò)此檢測(cè)點(diǎn)，OUTPUT包過(guò)濾在此點(diǎn)進(jìn)行。

這些點(diǎn)是已經(jīng)在內(nèi)核中定義好的，內(nèi)核模塊能夠注冊(cè)在這些HOOK點(diǎn)進(jìn)行的處理，可使用nf_register_hook函數(shù)指定。在數(shù)據(jù)報(bào)經(jīng)過(guò)這些鉤子函數(shù)時(shí)被調(diào)用，從而模塊可以修改這些數(shù)據(jù)報(bào)，并向Netfilter返回如下值：

NF_ACCEPT 繼續(xù)正常傳輸數(shù)據(jù)報(bào)

NF_DROP 丟棄該數(shù)據(jù)報(bào)，不再傳輸

NF_STOLEN 模塊接管該數(shù)據(jù)報(bào)，不要繼續(xù)傳輸該數(shù)據(jù)報(bào)

NF_QUEUE 對(duì)該數(shù)據(jù)報(bào)進(jìn)行排隊(duì)(通常用于將數(shù)據(jù)報(bào)給用戶空間的進(jìn)程進(jìn)行處理)

NF_REPEAT 再次調(diào)用該鉤子函數(shù)

一個(gè)基于Netfilter框架的、稱為IPtables的數(shù)據(jù)報(bào)選

◆電話受理中心（用戶綜合窗口）
為了給廣大客戶提供更優(yōu)質(zhì)、快捷的網(wǎng)站維護(hù)服務(wù)，在中國(guó)業(yè)界率先設(shè)立了全天候服務(wù)式的電話受理中心，并始終堅(jiān)持“快速”“準(zhǔn)確”“親切”的服務(wù)理念。走過(guò)風(fēng)雨兼程的10年，我們嘗盡酸甜苦辣，但是為客戶服務(wù)的心，卻一刻也不曾停歇，為了您的歡笑，我們?nèi)詫⒗^續(xù)前行。

◆全國(guó)統(tǒng)一免費(fèi)網(wǎng)站維護(hù)電話:400-670-5808（支持任何用戶撥打）郵箱：xieaijiao@cdsheji.com QQ:284888576

◆營(yíng)業(yè)時(shí)間：365天·24小時(shí)，年中無(wú)休。
◆對(duì)應(yīng)業(yè)務(wù)：與網(wǎng)站維護(hù)有關(guān)的任何商談和咨詢（網(wǎng)站維護(hù)、網(wǎng)站修改、網(wǎng)頁(yè)修改、網(wǎng)站安全、網(wǎng)站殺毒、網(wǎng)站中毒、網(wǎng)站備份、網(wǎng)站恢復(fù)、網(wǎng)站備案、網(wǎng)站建設(shè)、技術(shù)咨詢、網(wǎng)站域名、網(wǎng)站空間、企業(yè)郵箱等）