网卡工作原理

Linux操作系统的功能可以概括为进程管理、内存管理、文件系统管理、设备管理、网络等几部分。所有的系统操作最终都可以映射到对物理设备的操作。除去对CPU、内存以及其他少数几个物理实体的操作之外，系统对其他设备的所有操作都通过专门的称为驱动程序的代码完成。系统中存在的每种外设在内核中都必须有对应的设备驱动程序对其进行处理。所以分析网卡的工作原理即是分析网卡的驱动程序。

网络是独立的一个模块。为了屏蔽网络环境中物理网络设备的多样性，Linux对所有的设备进行抽象并定义了一个统一的概念，称之为接口。所有对网络硬件的访问都是通过接口进行的，接口提供了一个对所有类型的硬件一致化的操作集合来处理基本数据发送和接收。一个网络接口被看作是一个发送和接收数据包的实体。对于每个网络接口，都用一个net_device的数据结构来表示。net_device中有很多提供系统访问和协议层调用的设备方法，包括提供设备初始化和往系统注册用的init函数，打开和关闭网络设备的open和stop函数，处理数据包发送的函数hard_start_xmit，以及中断处理函数。

所有被发送和接收的包都用数据结构sk_buff表示。要发送数据时，网络系统将分局系统路由表选择相应的网络接口进行数据传输；当接收数据包时，通过驱动程序登记的中断服务程序进行数据的接口处理。

Linux网络驱动程序崇尚倒下分为四层：协议接口层、网络设备接口层、设备驱动功能层、网络设备和网络媒介层。如下图所示：

网卡初始化

网络设备初始化主要工作时检测设备的存在、初始化描述设备的net_device结构及在系统中登记该设备。在系统初始化完成以后，系统检测到的网络设备将保存在链表dev_base中，其中每个链表单元net_device对应一个存在的物理网络设备。

初始化过程首先检测网络物理设备是否存在，这是通过检测物理设备的硬件特征来完成；然后对设备进行资源配置，这些完成之后就要构造设备的net_device数据结构，用检测到值对net_device中的变量初始化；最后Linux内核中注册该设备并申请内存空间。

网卡的打开与关闭

为了使用网络设备，需要打开网卡，打开和关闭的一个接口是由shell命令ifconfig调用的，而ifconfig则要调用一个通用的设备打开函数dev_open（net/core/dev.c），相应的还有一个dev_close函数，这两个函数提供独立于设备的操作接口的打开和关闭功能。一般打开函数执行的操作包括注册中断函数，分配并初始化网卡所需要的接收与发送缓冲区，启动硬件检查网络连接线状态等。

数据包的发送与接收

数据包的发送和接收是实现Linux网络驱动程序中两个最关键的过程。

当物理网络设备接收到数据是，系统通过两种途径解决这个问题。一种方法是轮询方式，另一种方式是中断法师。

在轮询方式中，系统每隔一定的时间间隔就去检查一次物理设备，若设备有数据到达，就调用读取数据的程序。Linux中通过定时器实现，但是此法有一个明显的缺点：不管设备是否有数据，系统总是要固定的消耗CPU资源去查看设备，并且可能对一些紧急数据处理予以延迟。从资源的利用率以及工作的效率上看都不是最优的。

中断方式利用硬件体系结构的中断机制实现设备和系统的应答对话，即当物理设备需要CPU处理数据时，就向CPU发送一个终端信号，系统则在收到信号后调用相应的中断服务程序响应对设备中断的处理。因此，基本在所有的网络设备驱动程序中都是用中断方式的。

每一个网卡上都有一块FIFO存储器，对于NIC（Network Interface Controller），FIFO存储器是用来通过系统总线传送数据到系统存储器之前，缓存从LAN上接收到的数据。对与快速以太网还有一个直接内存存取（DMA：Directly Memory Access）控制器，用于提供对系统存储器的可靠访问。

驱动为网卡分配一个环形缓冲区，在一段连续的物理内存中实现。

1、 数据接收

（1）       接收来自MAC的数据包，先暂存于片内FIFO接收队列；

（2）       当接收器达到早期接收上线时就移至环形缓冲区；

（3）       待整个数据包全部从FIFO移至缓存后，将接收状态寄存器和包长度写入接收的数据包头部，并更新CBA（Current Buffer Address）寄存器的值；

（4）       CMD（Command）寄存器中的BufferEmpty位和ISR（中断状态寄存器）寄存器的ROK位置1，并发出ROK的中断；

（5）       ISR中断调用完成后，清除ISR（ROK）并更新CAPR（Current Address of Packet Read，指向接收缓存的已读取包的地址），完成本次接收。

2、 数据发送

（1）       将待传送的数据写入主存中一段连续的缓存空间，由OS配合驱动程序完成；

（2）       找到一个可用的描述器，并写入内容，包括该数据包的开始物理地址和传输状态字（包的大小、可传送下限、OWN位）；

（3）       OWN位有效，将数据从缓存移至片内FIFO队列；

（4）       当FIFO队列中的数据达到早期传送下限，NIC的传送单元就会启动，将数据顺序输出至线路；

（5）       当整个数据包都已经传至FIFO，OWN位置1；

（6）       当整个数据包都已经传至线路上， TOK寄存器置1；

（7）       当TOK（IMR）和TOK（ISR）多置1，就发出TOK中断；

（8）       TOK中断调用完成以后，清除TSD状态字，完成本次传送。

可以看出，网卡需要发送/接收数据，都必须以中断的方式告诉系统，系统处理中断后做出相应操作。

网卡存在一定大小的FIFO存储器，同时还有缓冲区，缓冲区是由系统以及驱动共同分配一段连续的物理内存，所有的发送/接收的数据，都必须通过FIFO已经缓冲区，只有一包数据都发送成功后，才能继续发送下一包数据。系统维护缓冲区，只有当缓冲区有空间时才会接受上层来的数据，而网卡处理数据的速率远高于接收数据的最大速率，因此在网卡上不会存在堵塞情况。

对编程而言，在应用层调用传输层函数send/sendto，使用套接字传送数据，屏蔽了底层的所有实现。此时，send/sendto函数是没有阻塞的，只要调用，必然有返回值，成功返回发送数据的长度，失败则返回负值（失败的主要原因是网络连接的问题），因此可能存在数据丢失的现象，需要写程序的时候保证数据的传输成功。但是只有send/sendto函数返回后，程序才会执行下一次发送，因此编程时没必要考虑数据会在传输层上出现阻塞。

转自：http://blog.chinaunix.net/uid-25839577-id-3035405.html

linux下IPTABLES配置详解

Linux操作系统的安全性是众所周知的，所以，现在很多企业的服务器，如文件服务器、WEB服务器等等，都采用的是Linux的操作系统。笔者所 在的企业，有包括Oracle数据库服务器、文件备份服务器、邮件服务器、WEB服务器也都是采用Linux的服务器系统。今天，我就谈谈Linux是通 过哪些技术来保障服务器的安全，来加强对网络的访问控制。

　　Linux内置防火墙主要是通过包过滤的手段来提高对网络的管理控制功能，从而提高网络与服务器的安全。

　　一、 Linux防火墙的工作原理

　　我们设想一下，一台Linux主机一般会作哪些数据包相关的工作。其实，我们可以把一台Linux形象的比喻成一个地铁车站。一个地铁车站一般 有三个口子，一个是进口，乘客需要去做地铁的话，必须通过这个地铁的进口，而且必须凭合法的票子才能进去。第二个是出口，若乘客需要离开地铁站的话，则也 必须凭着票子出站。三是一个中转的接口，也就是说，在地铁的中转站中，你可以直接通过过道到另外一条线上去。

　　而一台Linux主机也有三个口子。一个是进口(INPUT)，到这台主机的任何数据包都需要通过这个接口才能够进入Linux系统的应用程序 空间。第二个是出口(OUTPUT)，从应用程序发送出去的任何数据包都必须通过这个出口，才能够进入到Linux系统的内核，让它把数据发送出去。第三 个是转发接口(FORWARD)，主要用来进行数据包的转发。

　　在Linux主机上要实现包过滤，其实也就是在这三个口子上添加包过滤条件。这就好像在每个口子上设置“验票员”。当“乘客”手里的票是合法 的，则“验票员”就允许其通过;若这票是不允许的，则“验票员”就会拒绝其通过这个口子。通过这种方式，我们网络管理员就可以很好的管理网络中传递的数据 包，并且对于一些服务器的防问权限进行合理且有效的控制。

　　如有时候我们为了防止DDOS攻击，我们就可以设置让所有主机都拒绝ICMP协议。如此的话，任何一台主机企图ping局域网内的任何一台 Linux电脑的话，局域网内的任何主机都不会有响应。而若有黑客把局域网内的主机当作肉鸡，企图通过他们来实现DOS攻击的时候，由于我们在出站接口 (OUTPUT接口)过滤了ICMP协议，所以，这个PING命令也根本不会传递到局域网中去。如此的话，就可以从根源上保护网络的安全。

　　二、 Linux防火墙的配置方法

　　Linux防火墙基本上是通过一条iptables命令来实现具体的配置。如我们现在为了防止局域网内的机器使用ping命令。这是一种很好的 防止DDOS攻击的方法。应为要实现DDOS攻击的话，则首先需要在局域网内部寻找肉鸡，让多台肉鸡同时采用PING命令PING服务器，直到服务器因为 资源耗竭而当机。现在若把所有Linux主机的PING命令都禁用掉的话，则就可以最大程度的防治DDOS攻击的危害。

　　Iptables –A OUTPUT –P icmp –j DROP

　　通过这条命令，就可以实现禁用本机的PING命令。

　　命令iptables就是防火墙包过滤策略的配置命令。防火墙的过滤规则，就是通过这个简单的命令来实现的。后面的参数-A则表示添加一个过滤 条件;-P表示一种协议类型;-J表示我们的目标。上面的这条命令的意思就是在Linux主机的出口上，加上一条过滤语句，当数据包的协议类型是ICMP 的话，则全部丢弃。

　　不过ICMP有一个特性。我们一般PING一台主机的话，则对于这台主机来说，首先其需要通过进站接口，把数据包传递到上层;然后，又要利用出 站接口，把回应信息发送出去。如果任何一个接口不通，如只收到信息而没有回应的话，则对与主ping方来说，就显示的是目的地不可大的信息。

　　以上这个条命令我们是在出口上加了限制语句，上面我们说过，一共可以在Linux主机上的三个接口，包括进站进口、出站接口与转发接口，在内的 任何一个接口上配置包过滤条件，以实现对防火墙的管理控制。在下面例子中，笔者将给大家举一个WEB服务器的例子，看看如何通过Linux主机的防火墙来 管理WEB服务器，提高其安全性。

　　三、 Linux防火墙的配置实例

　　我们该如何利用Linux操作系统自带的防火墙来提高网络的管理控制功能呢?具体的来说，我们可以分三步走。一是先在Linux服务器上开一个 后门，这个后门是专门给我们网络管理员管理服务器用的。二是把所有的进站、出站、转发站接口都关闭，此时，只有通过我们上面开的后门，管理员才能够远程连 接到服务器上，企图任何渠道都不能连接到这台主机上。三是根据我们服务器的用途，把一些需要用到的接口开放出去。

　　下面笔者就以一个WEB服务器为例，谈谈如何设置防火墙，才能够提高这台服务器的安全性，并且，在提高安全性的同时，也不影响我们网络管理员对其的访问控制。

　　第一步：开后门

　　网络管理员一般是通过SSH方式来管理Linux操作系统。所以，我们首先需要开一个后门，允许网络管理员通过SSH方式远程登录到服务器，对这台服务器进行必要的维护与管理。

　　为了达到这个目的，我们可以利用两条语句来实现。我们这里假设我们WEB服务器的IP地址为192.168.0.2。

　　Iptables –A INPUT –P tcp –d 192.168.0.2 –dport 22 –j ACCEPT

　　Iptables –A OUTPUT –P tcp –S 192.168.0.2 –dport 22 –j ACCEPT

　　第一条语句的意思是，在进站接口上，允许网络管理员通过TCP协议与22号端口，访问主机。一般SSH方式采用的就是22号端口与TCP协议。 这条语句的作用就是让网络管理员可以连接到WEB服务器上去。但是，这还不够，我们若想要远程管理WEB服务器的话，则就需要实现相互交互的功能。也就是 说，我们还需要WEB服务器能够给我们回应一些消息。此时，我们就还需要配置第二条语句。

　　上面第二条语句的意识就是允许WEB服务器通过22号端口与TCP协议，发送一些数据出去。如此的话，我们网络管理员就可以受到WEB服务器的一些回应信息。

　　第二步：关闭所有接口

　　Iptables –P INPUT –j DROP

　　Iptables –P OUTPUT –j DROP

　　Iptables –P FORWARD –j DROP

　　以上三条命令的作用就是把WEB服务器上的三个接口全部关闭。但是，此时因为我们在第一步开了一个后门，所以，事后网络管理员仍然可以通过 SSH这个方式登录到服务器上去，对其进行远程访问。采用这些命令把各个接口关闭后，我们就无法通过HTTP、FTP等方式访问服务器。

　　第三步：分析服务器的用途并添加允许条件

　　把各个接口关不后，我们还需要为其添加一些必要的条件，允许某些特定类型的数据包通过。否则的话，其他人不是不能通过网络访问WEB服务器，那不是白搭了吗?

　　所以，接下去的任务，我们就是需要分析服务器的类型。我们现在配置的是一台WEB服务器，而WEB服务器一般是通过HTTP方式与80端口进行 访问的。默认情况下，其用到的就是TCP协议与80端口。所以，我们只需要在进口与出口上，允许协议是TCP、端口号是80的数据包通过，就可以实现我们 的目标了。

　　Iptables –A INPUT –P tcp –d 192.168.0.2 –dport 80 –j ACCEPT

　　Iptables –A OUTPUT –P tcp –S 192.168.0.2 –dport 80 –j ACCEPT

　　通过如上的配置，就可以实现我们的需求

　　四、 Linux防火墙的配置需要注意的地方

　　在使用Linux防火墙来管理企业网络的时候，笔者给大家提一些建议。

　　一是根据最小权限的安全与控制设计原则，我们在防火墙设计的时候，需要先把所有的接口先全部禁用掉。然后，再根据服务器的类型，添加一些允许数 据包通过的语句。如此的目的，是为了保障服务器上只允许一些特定的协议与数据包通过。如此做的话，就可以最大限度的保障服务器与企业网络的安全。如通过上 面如此配置的服务器，无法使用FTP协议访问服务器，也就杜绝了非法访问者企图利用FTP漏洞来攻击WEB服务器。同时，也禁止了ICMP协议，如此的 话，就可以有效的防止DDOS攻击等等。