域名维护：简单解析Linux系统防火墙框架

Linux系统中的Netfilter提供了一个抽象、通用化的框架，该框架定义的一个子功能的实现就是包过滤子系统，框架包含以下五部分：

1. 为每种网络协议(IPv4、IPv6等)定义一套钩子函数(IPv4定义了5个钩子函数), 这些钩子函数在数据报流过协议栈的几个关键点被调用。在这几个点中，协议栈将把数据报及钩子函数标号作为参数调用Netfilter框架。

2. 内核的任何模块可以对每种协议的一个或多个钩子进行注册，实现挂接，这样当某个数据包被传递给Netfilter框架时，内核能检测是否有任何模块对该协议和钩子函数进行了注册。若注册了，则调用该模块的注册时使用的回调函数，这样这些模块就有机会检查(可能还会修改)该数据包、丢弃该数据包及指示Netfilter将该数据包传入用户空间的队列。

3 .那些排队的数据包是被传递给用户空间的异步地进行处理。一个用户进程能检查数据包，修改数据包，甚至可以重新将该数据包通过离开内核的同一个钩子函数中注入到内核中。

4. 任何在IP层要被抛弃的IP数据包在真正抛弃之前都要进行检查。例如允许模块检查IP-Spoofed包(被路由抛弃)。

5.IP层的五个HOOK点的位置如下所示：

(1)NF_IP_PRE_ROUTING：刚刚进入网络层的数据包通过此点(刚刚进行完版本号，校验 和等检测)，源地址转换在此点进行;IP_Input.c中IP_Rcv调用;

(2)NF_IP_LOCAL_IN：经路由查找后，送往本机的通过此检查点，INPUT包过滤在此点进行，IP_local_deliver中调用;

(3)NF_IP_FORWARD：要转发的包通过此检测点，FORWORD包过滤在此点进行;

(4)NF_IP_POST_ROUTING：所有马上便要通过网络设备出去的包通过此检测点，内置的目的地址转换功能(包括地址伪装)在此点进行;

(5)NF_IP_LOCAL_OUT：本机进程发出的包通过此检测点，OUTPUT包过滤在此点进行。

这些点是已经在内核中定义好的，内核模块能够注册在这些HOOK点进行的处理，可使用nf_register_hook函数指定。在数据报经过这些钩子函数时被调用，从而模块可以修改这些数据报，并向Netfilter返回如下值：

NF_ACCEPT 继续正常传输数据报

NF_DROP 丢弃该数据报，不再传输

NF_STOLEN 模块接管该数据报，不要继续传输该数据报

NF_QUEUE 对该数据报进行排队(通常用于将数据报给用户空间的进程进行处理)

NF_REPEAT 再次调用该钩子函数

一个基于Netfilter框架的、称为IPtables的数据报选

◆电话受理中心（用户综合窗口）
为了给广大客户提供更优质、快捷的网站维护服务，在中国业界率先设立了全天候服务式的电话受理中心，并始终坚持“快速”“准确”“亲切”的服务理念。走过风雨兼程的10年，我们尝尽酸甜苦辣，但是为客户服务的心，却一刻也不曾停歇，为了您的欢笑，我们仍将继续前行。

◆全国统一免费网站维护电话:400-670-5808（支持任何用户拨打）邮箱：xieaijiao@cdsheji.com QQ:284888576

◆营业时间：365天·24小时，年中无休。
◆对应业务：与网站维护有关的任何商谈和咨询（网站维护、网站修改、网页修改、网站安全、网站杀毒、网站中毒、网站备份、网站恢复、网站备案、网站建设、技术咨询、网站域名、网站空间、企业邮箱等）