怎样利用IP Queue机制编写用户态防火墙

一般而言，防火墙都是嵌入在Linux内核协议栈的处理过程中，运行在内核地址空间。这就要求开发者深入理解和掌握内核，以及内核协议栈的代码。对于普通开发者来说，此要求显然过于苛刻。为此，Linux内核在Netfilter框架的基础上提供了IP Queue机制，使得基于用户态（User Mode）的防火墙开发成为可能。

下面详细阐述IP Queue的原理及其编程接口。

内核报文处理流程

首先，大致了解一下内核处理数据报文的流程。正确理解这个流程，对于编写完善的防火墙非常有帮助。

如图1所示，在内核的IP报文处理过程中，散布了一些HOOK点(图中椭圆形的节点)，在这些点上，可以挂载外部处理函数，进行定制的报文处理。