基于嵌入式Linux的SOHO路由器設計

　　3.2 Netfilter 框架分析與NAT 技術(shù)實(shí)現

　　Netfilter 是Linux2.4 內核實(shí)現數據*濾、數據包處理和NAT 功能的框架。它為每種網(wǎng)絡(luò )協(xié)議(IPv4, IPv6 等)定義一套鉤子函數（IPv4 有5 個(gè)鉤子函數)，內核中任何模塊可以對協(xié)議中的鉤子函數進(jìn)行注冊與掛接，這些鉤子函數在數據包流經(jīng)協(xié)議棧時(shí)被調用，注冊后的模塊可以檢查、修改、丟棄數據包及指示Netfilter 將數據包傳入用戶(hù)空間隊列，進(jìn)行異步處理。一個(gè)數據包按圖3 所示的過(guò)程通過(guò)Netfilter 系統。

　　數 據 包 從 左 邊 進(jìn) 入 系 統 ， 進(jìn) 行 IP 校驗后， 數據包經(jīng)過(guò)第一個(gè)鉤子函數NF_IP_PRE_ROUTING[1]進(jìn)行處理；然后就進(jìn)入路由代碼，其決定該數據包是需要轉發(fā)還是發(fā)給本機的；若該數據包是發(fā)給本機的，則該數據經(jīng)過(guò)鉤子函數NF_IP_LOCAL_IN處理后傳遞給上層協(xié)議；若該數據包應該被轉發(fā)則它被NF_IP_FORWARD[3]處理；經(jīng)過(guò)發(fā)的數據包經(jīng)過(guò)最后一個(gè)鉤子函數NF_IP_POST_ROUTING[4]處理后，再傳輸到網(wǎng)絡(luò )上。

　　本地產(chǎn)生的數據經(jīng)過(guò)鉤子函數NF_IP_LOCAL_OUT[5]處理后，進(jìn)行路由選擇處理，然后經(jīng)過(guò)NF_IP_POST_ROUTING[4] 處理以后發(fā)送到網(wǎng)絡(luò )上。Netfilter 框架支持多種NAT，NAT 一般可分為源NAT 與目的NAT。源NAT 在數據包經(jīng)過(guò)NF_IP_POST_ROUTING 時(shí)修改數據包的源地址，偽裝是一個(gè)特殊的SNAT，目的NAT在數據包經(jīng)過(guò)F_IP_LOCAL_OUT 或NF_IP_PRE―ROUTING 時(shí)修改數據包目的地址。

　　本文利用 IPtables 實(shí)現IP 偽裝、Port Forward 端口轉發(fā)、ALG。IPtables 是一個(gè)在Linux2.4內核中基于Netfilter 框架的數據包選擇系統。地址轉換會(huì )導致許多對NAT 敏感的應用協(xié)議無(wú)法正常工作，而地址轉換應用網(wǎng)關(guān)(NAT ALG, Application Level Gateway)，對載荷中的IP地址和端口號進(jìn)行替換，從而實(shí)現對該協(xié)議的透明中繼。IPtables 要求數據包流經(jīng)指定的規則表，其中設定的規則用于實(shí)現數據*濾，網(wǎng)絡(luò )地址轉換及數據包處理，從而實(shí)現多臺主機共享一個(gè)合法的IP 地址訪(fǎng)問(wèn)因特網(wǎng)，并實(shí)現*濾防火墻。

　　4 結束語(yǔ)

　　本文作者創(chuàng )新點(diǎn)：提出了一種基于嵌入式 Linux 操作系統的SOHO 路由器設計方案。與現有設計方案相比，本文采用ATM9TDMI+Linux 構架設計SOHO 路由器，能滿(mǎn)足高速接入網(wǎng)用戶(hù)需求，具有更高地系統穩定性和用戶(hù)安全性。