Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Modul "stub" hinzuzufügen. Die Datei ksyms.c, welche alle exportierten Symbole auflistet.
Die Datei sf_kernel.h (neu), die die Kernel-Filter-Modul-Schnittstelle beinhaltet. sf_stub.c
(neu), das Kernel-Filter-Modul "stub".
Beschreibung der Kernel-Filter-Module Stub
Die Stub-Datei, sf_stub.c, enthält den Filter-Funktions-Zeiger sf_fw_chk() und zwei
Dummy-Routinen, welche alle Pakete entweder zurückweisen oder passieren lassen. Die
Filter-Funktion wird jedoch nie direkt aufgerufen, sondern ausschließlich nur durch den
Funktions-Zeiger im Filter. In der momentanen Implementierung zeigt der Funktions-
Zeiger im Filter entweder auf die Funktion des Kernel Filter-Moduls, oder auf eine der
Dummy-Routinen der Stub-Datei.
Um Aufrufe zum Filter-Funktions-Zeiger hinzuzufügen, muß die Datei ip.c modifiziert
werden. Beim starten des Systems ist der Funktions-Zeiger des Filters auf die "Paket
passieren lassen" Dummy-Routine eingestellt, sodaß die Firewall nicht arbeitet. Ohne das
freigeschaltete Dummy Interface ist die Firewall nicht in der Lage, Informationen an das
Monitor Interface zu senden. Vorsicht also mit der Einstellung "block all pakets" !
14.23 Komponenten der SINUS Firewall-1
Installation der Kernel Filter Module
Das Kernel Filtermodul, sf.o, enthält Code zur Initialisierung, Konfiguration und zum
Betrieb des Firewall-Devices /dev/firewall. Der Quellcode befindet sich im File sf_device.c
. Es sei noch erwähnt, daß sich sowohl der "message buffer", als auch die echten
Paketfilter Funktionen sich in der Funktion sf_check_packet() befinden. Das Einfügen des
Filters in den Kernel mit insmod hat keine Auswirkung auf den Funktionszeiger des
PaketFilters und aktiviert somit auch nicht den "message buffer".
14.24 Starten des Firewall-Dämons
Der Firewall-Dämon benutzt die Firewall Schnittstelle /dev/firewall, um mit dem kernel filter
Modul zu kommunizieren. Der Firewall-Dämon selber greift nicht direkt auf Funktionen des
Kernels zu. Bei seiner Aktivierung öffnet dieser die Firewall Schnittstelle im read/write
Modus (wie ein File) und aktiviert dann den message Buffer in dem Modul. Der Packetfilter
Funktionszeiger sf_fw_chk, der bis hierhin auf die dummy "pass packets" Funktion zeigt,
wird nun auf die echte Filterfunktion des Filtermoduls umgebogen.
Die Filterfunktion fängt nun an, die Pakete zu analysieren. Immer dann, wenn ein Paket
den Konfigurationseinstallungen entspricht, benachrichtigt es den Firewall-Dämon, erzeugt
eine Nachricht und speichert diese im Message buffer. Nun kann auch der Monitor für den
User aktiviert werden, um die Nachricht anzuzeigen. Der Firewall-Dämon liest nun den
ganzen Message buffer. Die buffer struktur sf_proc enthält nun einen Zähler (num_entries)
der die Zahlder gültigen Einträge enthält. Wenn keine Nachrichten im Buffer enthalten
sind, dann wird der Firewall-Dämon vorübergehend deaktiviert, damit er nicht mehr vom
Firewall-Device liest. Das spart CPU Zeit. Sobald aber neue Nachrichten eintreffen, wird
der Firewall-Dämon von der Filterfunktion im Kernel reaktiviert.
Wenn der Message buffer voll ist, das passiert immer dann, wenn die Auslesefunktion
deaktivert oder überlastet ist, dann benachrichtigt die Filterfunktion den Kernel, woraufhin
dieser dann Pakete verwirft, und den Counter für verlorene Pakete aktiviert.
Sobald das Filterdevice geschlossen wird, wird der Zeiger auf die Filterfunktion wieder auf
die dummy Filterroutine gesetzt. Weitere Details sind in dem Abschnitt "Start und Kontrolle
des Firewalls" beschrieben.
Erstellt von Doc Gonzo - http://kickme.to/plugins