1.Linux 内核观测技术BPF
2.iptables防火墙服务
3.有几种方法可以进入防火墙?包过包它们又有哪些区别呢?
4.eBPF 实践教程: 通过 socket 或 syscall 追踪 HTTP 等七层协议
5.通过Linux内核协议栈netfilter拦截数据报文
6.Linux中的防火墙(Netfilter、Iptables、滤源Firewalld)
Linux 内核观测技术BPF
Linux内核中的观测技术BPF，简称伯克利数据包过滤器，过滤最初是依据源地为了提升网络包过滤性能而设计的。随着时间发展，包过包看大盘指标源码BPF演变为一个通用执行引擎，滤源可在系统和应用程序事件触发时运行定制代码，码包让内核具备高度可编程性。过滤BPF由指令集、依据源地存储对象和辅助函数构成，包过包具备两种执行机制：解释器和即时编程器，滤源执行前需通过验证器安全检查。码包
BPF验证器是过滤关键环节，确保只有经过审查的依据源地代码才能在内核中运行。它通过静态分析和指令预执行检查来保证程序安全，避免死循环和内存访问错误。尾部调用允许BPF程序之间进行协作，但信息共享需借助BPF映射，BPF映射是一种在内核和用户空间之间共享数据的机制。
要使用BPF，推荐升级到5系内核，通过命令获取系统版本或源码，然后安装依赖环境。BPF程序通常用C语言编写，通过LLVM编译成内核可执行的代码。例如，可以编写一个在execve系统调用时输出"Hello, World, BPF!"的程序。
BPF映射是持久化的，但4.4版本之前有指令数量限制，5.2版本后有所放宽。创建映射需要调用bpf_create_map系统调用，映射类型包括哈希表等。BPF提供了CRUD操作，如插入、查找和删除元素，以及遍历映射的功能。
BPF还支持跟踪和探针功能，macd发出bs源码用于收集数据进行分析和调试。内核探针在指令执行时插入代码，用户空间探针则在用户程序特定指令执行时触发。例如，可以使用Python和BPF进行内核命令名称跟踪或使用Go语言编写用户空间探针统计函数执行时间。
在使用BPF过程中，可能遇到如“Option ‘openmp-ir-builder-optimistic-attributes’ registered more than once!”这类问题，解决方法是重新编译BCC。以上就是Linux内核观测技术BPF的详细介绍和相关操作示例。
iptables防火墙服务
一、iptables防火墙介绍 1、iptables是开放源代码的自由包过滤防火墙工具。 2、主要工作在OSI七层的二、三、四层。 二、iptables防火墙概念知识 1、容器：防火墙服务，用于存放防火墙功能。 2、表：防火墙功能表，包含多个功能。①、filter表（过滤）：进行包过滤处理。
②、nat表（映射）：数据地址映射。
③、mangle表（标记）：数据报信息修改。
④、raw表（拆解）：标记信息拆解。
3、链：具体功能说明，装入到表中。INPUT链：对流入数据进行过滤。
FORWARD链：流经数据过滤。
OUTPUT链：流出数据过滤。爬小程序源码
POSTROUTING链：路由后映射。
PREROUTING链：路由前映射。
OUTPUT链：数据包映射。
4、规则：防火墙处理数据包的方式，装入链中。 三、iptables防火墙工作原理 1、层层过滤，按照配置规则顺序执行。 2、匹配规则后，明确表示阻止或通过，不再匹配。 3、未明确规则，继续匹配。 4、默认规则是所有规则执行完毕后执行。 四、iptables防火墙信息命令使用 (一)、iptables命令（查看配置信息）-L：显示规则信息。
-n：以数字形式显示地址或端口。
-v：详细配置信息。
-t：指定查看表信息。
(二)、配置 1、初始化：删除所有规则，清除计数器，删除用户链。 2、包过滤配置（filter表）：阻止ssh远程服务，配置规则、协议、端口等。 五、企业配置思路 1、均线原始源码保存默认配置。 2、初始化配置，重新配置规则。 3、确认远程连接通畅。 4、修改filter表默认规则。 5、考虑禁ping功能。 6、设置白名单。 7、实现NAT映射。 8、保存配置。有几种方法可以进入防火墙?它们又有哪些区别呢?
一，如果是按物理上分，可以分为硬件防火墙（比如思科的ASA），和软件防火墙（比如WINDOWS系统本身自的防火墙）
二，如果是按照原理分，可以分为包过滤（这是第一代），应用代理（第二代），状态监视（第三代）
包过滤的原理也是特点：
这是第一代防火墙，又称为网络层防火墙，在每一个数据包传送到源主机时都会在网络层进行过滤，对于不合法的数据访问，防火墙会选择阻拦以及丢弃。这种防火墙的连接可以通过一个网卡即一张网卡由内网的IP地址，又有公网的IP地址和两个网卡一个网卡上有私有网络的IP地址，另一个网卡有外部网络的IP地址。
包过滤的缺点，有一攻击是无法防护，比如DDOS等。
应用代理的原理也是特点：
应用程序代理防火墙又称为应用层防火墙，工作于OSI的应用层上。应用程序代理防火墙实际上并不允许在它连接的苹果app下载源码网络之间直接通信。相反，它是接受来自内部网络特定用户应用程序的通信，然后建立于公共网络服务器单独的连接。
应用代理的缺点是速度相比慢一些。
状态监视的原理也是特点：
应用程序代理防火墙又称为应用层防火墙，工作于OSI的应用层上。应用程序代理防火墙实际上并不允许在它连接的网络之间直接通信。相反，它是接受来自内部网络特定用户应用程序的通信，然后建立于公共网络服务器单独的连接。
相对而言状态监视是比较不错的，就缺点而言，就是技术复杂，有时过于机械，不灵活。
eBPF 实践教程: 通过 socket 或 syscall 追踪 HTTP 等七层协议
在现代技术环境中，可观测性对确保微服务和云原生应用的健康、性能和安全至关重要。特别是随着服务组件分布于多容器和服务器，传统的监控手段难以全面掌握系统行为。因此，追踪HTTP、gRPC、MQTT等七层协议变得至关重要，因为它们揭示了应用间的交互细节。
eBPF技术在此时崭露头角，它允许开发者和运维人员深入内核层面，实时分析系统行为，而无需在应用代码中插入额外的监控代码，实现了无侵入式的可观测性。通过本实践教程，我们将探讨如何使用eBPF的socket filter和syscall追踪技术，有效监控七层协议，尤其是在微服务架构中。
eBPF的socket filter是内核级的数据包过滤工具，适合直接操作套接字数据，而syscall追踪则关注系统调用，提供更全面的交互上下文。这两种方法各有优势，socket filter更直接，而syscall追踪则揭示更广泛的应用行为。
通过eBPF的socket filter，我们可以编写内核代码来捕获HTTP流量，示例代码展示了如何解析以太网、IP和TCP头部，以识别HTTP请求。尽管存在跨数据包URL处理的挑战，但通过缓存和组装逻辑，可以解决这个问题。
用户态代码则通过创建raw socket并附加eBPF程序来集成这些功能，例如创建web服务器并使用curl发送请求，eBPF程序会捕获并打印出HTTP请求内容。
eBPF的syscall追踪则涉及hook系统调用如accept和read，以获取更全面的请求追踪。完整的代码示例和源码可以在GitHub仓库中获取。
总结来说，本文详细介绍了如何利用eBPF技术来追踪七层协议，包括其在微服务环境中的应用和实践中可能遇到的问题。通过学习和实践，开发者可以提升对网络流量和系统行为的理解，从而优化应用程序性能和安全。访问我们的教程代码或网站获取更多资源。
通过Linux内核协议栈netfilter拦截数据报文
通过内核模块的方式向netfilter框架注册钩子函数，实现简单的数据包转发调试，当有数据包经过Linux协议栈时，打印相关信息。目的在于熟悉netfilter框架的基础api，为后续开发防火墙等功能做准备。
netfilter简介：netfilter是由Rusty Russell提出的Linux 2.4内核防火墙框架，该框架既简洁又灵活，可实现安全策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、透明代理、动态网络地址转换（Network Address Translation，NAT），以及基于用户及媒体访问控制（Media Access Control，MAC）地址的过滤和基于状态的过滤、包速率限制等。
网卡转发包流程：以下为网口收包到转发的流程，NF_HOOK位置为netfilter钩子。
netfilter框架流程：netfilter是Linux协议栈的一个子系统，用于数据报文的过滤。在路由器设备中，数据报文的来源和去向有很多场景。比如转发数据、本地发出的数据、访问设备本身的数据等，可以通过下图简单了解基本流程。
netfilter钩子注册：netfilter为通用的框架，Linux系统已经内建了常用的钩子。netfilter和iptables命令时密切相关的，iptables命令的最终实现是基于netfilter，比如filter表、nat表、mangle表的各个链的实现，都在netfilter源码中找到具体实现，这里就不一一讲解。
netfilter外部接口：我们可以通过以下接口注册和卸载钩子函数，在钩子函数中可以将数据报文解析出来进行处理，比如过滤。
接口列表注册结构体定义结构体参数说明hooknum可配置的值priority可配置的值：priority可以配置任意整数的，因为系统有默认的钩子，定义了一些参考值，我们开发过程中一般在系统priority的基础上进行加减操作，用于标记自己加入钩子的位置以下为系统定义的优先级。
下面我们写一个实例，通过打印数据包信息，看看数据包的走向 代码中，我们定义hook_ops数组，包含3个钩子实体 forward_hook、forward_hook2、local_in_hook，其中前两个为forward钩子，但挂载的优先级不一样，我们可以通过打印看到，优先级情况，而local_in_hook为访问设备本身的数据，通过ip地址我们可以很方便查看是否是我们想要的结果。
钩子实例ops注册实例编译运行：环境 代码：OpenWrt . 或其他版本OpenWrt分支版本，linux内核5.4.xx版本 编译环境: ubuntu 运行环境： OpenWrt系统（内核版本和编译模块版本一致） 编译 将源码包拷贝到OpenWrt package目录，make menuconfig选择kmod-netfilter_hook并保存。
编译完成后会在build_dir子目录生成netfilter_hook.ko文件，将该文件通过winscp工具传输到OpenWrt开发板（路由器）中 然后执行以下命令：
保证开发板能够通过wan口连接外网，并接入一台pc到lan口，pc分别访问设备和外网。
测试结果开源作品：github.com/destan/Ope...
Linux中的防火墙(Netfilter、Iptables、Firewalld)
Linux防火墙管理主要涉及Netfilter、Iptables和Firewalld三种技术。Netfilter作为内核级的包过滤引擎，通过五个规则链（如INPUT和OUTPUT）控制数据包在传输路径中的五个控制关卡。Iptables作为工具，将过滤规则写入内核，利用Netfilter进行数据包过滤，但并不具备过滤功能。Firewalld则以XML格式的配置文件管理规则，提供公共区域（如public）的自动激活和动态添加/移除服务或端口的能力，如通过firewall-cmd命令进行操作。
Netfilter的规则链包括PREROUTING、INPUT、OUTPUT、FORWARD和POSTROUTING，规则表则有filter、raw、mangle和nat，它们遵循特定的匹配顺序。Iptables规则的添加、删除和查看可通过-A、-I、-D、-F和-L等命令实现。为了使规则永久生效，需要在重启服务或系统时保存和加载配置。
Firewalld作为RHEL7的默认防火墙，与iptables不同，它通过zone来管理规则，并支持更复杂的配置，如端口转发。在RHEL7中，通常会选择关闭iptables而启用firewalld，以利用其更全面的功能。
学习Linux防火墙时，可以参考内核源码、内存调优、文件系统等其他方面的教程，并加入学习交流群获取更多资源。
IPTABLES相关应用
对于IPTABLES的编译和应用，许多人对其都非常熟悉并常用。我在深入研究其拓展功能后，对其功能有了更深入的理解，比如comment（添加备注）、string（字符串匹配）、iprang（IP范围匹配）等众多实用特性。这些功能在如RH7.3和RH9.0的kernel2.4.-3和2.4.-8版本中都成功实现了。以下是一些具体的操作步骤和功能介绍。 首先，需要准备与当前内核版本匹配的原码。如果使用的是rh9.0 kernel2.4.-8，可以检查当前版本并下载或安装对应的kernel-source包。然后，进入内核源码目录，修改Makefile的EXTRAVERSION以匹配你的内核版本。 接下来，进行内核源码的处理，包括运行'make mrproper'和'make oldconfig'来清理和配置内核。旧配置文件很有用，可以复制安装时的配置文件来帮助选择选项。之后，对netfilter进行补丁应用，根据需要选择特定的模块，如string、comment、connlimit等，并逐个进行测试和安装。 只编译netfilter模块是必要的，选择ipv4模块后，执行'make modules'命令。为了保险，可以备份原有模块并应用新编译的模块。编译完成后，记得更新modules.dep文件。最后，解压并编译安装新的iptables，设置适当的安装路径。 安装完成后，可以进行测试，确保新功能已成功集成到iptables中，然后根据需求进行实际应用。扩展资料
iptables 是与最新的 3.5 版本 Linux 内核集成的 IP 信息包过滤系统。如果 Linux 系统连接到因特网或 LAN、服务器或连接 LAN 和因特网的代理服务器， 则该系统有利于在 Linux 系统上更好地控制 IP 信息包过滤和防火墙配置。