連接跟蹤系統的初始化流程分析
有了前面的知識，我們再分析連接跟蹤系統的初始化ip_conntrack_standalone_init()函數就太容易不過(guò)了。還是先上ip_conntrack_standalone_init()函數的流程圖：
該函數的核心上圖已經(jīng)標出來(lái)了“初始化連接跟蹤系統”和“注冊連接跟蹤的hook函數”。其他兩塊這里簡(jiǎn)單做個(gè)普及，不展開(kāi)講。至少讓大家明白連接跟蹤為什么需要兩中文件系統。
1、 procfs(/proc文件系統)
這是一個(gè)虛擬的文件系統，通常掛載在/proc，允許內核以文件的形式向用戶(hù)空間輸出內部信息。該目錄下的所有文件并沒(méi)有實(shí)際存在在磁盤(pán)里，但可以通過(guò)cat、more或>shell重定向予以寫(xiě)入，這些文件甚至可以像普通文件那樣指定其讀寫(xiě)權限。創(chuàng )建這些文件的內核組件可以說(shuō)明任何一個(gè)文件可以由誰(shuí)讀取或寫(xiě)入。但是：用戶(hù)不能在/proc目錄下新增，移除文件或目錄。
2、 sysctl(/proc/sys目錄)
此接口允許用戶(hù)空間讀取或修改內核變量的值。不能用此接口對每個(gè)內核變量進(jìn)行操作：內核應該明確指出哪些變量從此接口對用戶(hù)空間是可見(jiàn)的。從用戶(hù)空間，你可以用兩種方式訪(fǎng)問(wèn)sysctl輸出的變量：sysctl系統調用接口；procfs。當內核支持procfs文件系統時(shí)，會(huì )在/proc中增加一個(gè)特殊目錄(/proc/sys)，為每個(gè)由sysctl所輸出的內核變量引入一個(gè)文件，我們通過(guò)對這些文件的讀寫(xiě)操作就可以影響到內核里該變量的值了。
除此之外還有一種sysfs文件系統，這里就不介紹了，如果你感興趣可以去研讀《Linux設備驅動(dòng)程序》一書(shū)的詳細講解。
那么回到我們連接跟蹤系統里來(lái)，由此我們可以知道：連接跟蹤系統向用戶(hù)空間輸出一些內核變量，方便用戶(hù)對連接跟蹤的某些特性加以靈活控制，如改變最大連接跟蹤數、修改TCP、UDP或ICMP協(xié)議的連接跟蹤超時(shí)是時(shí)限等等。
注意一點(diǎn)：/proc/sys目錄下的任何一個(gè)文件名，對應著(zhù)內核中有一個(gè)一模一樣同名的內核變量。例如，我的系統中該目錄是如下這個(gè)樣子：
ip_conntrack_init()函數
該函數承擔了連接跟蹤系統初始化的絕大部分工作，其流程我們也畫(huà)出來(lái)了，大家可以對照源碼來(lái)一步一步分析。
第一步：連接跟蹤的表大小跟系統內存相關(guān)，而最大連接跟蹤數和連接跟蹤表容量的關(guān)系是：最大連接跟蹤數=8×連接跟蹤表容量。代碼中是這樣的：
ip_conntrack_max = 8 × ip_conntrack_htable_size;那么從上面的圖我們可以看出來(lái)，我們可以通過(guò)手工修改/proc/sys/net/ipv4/netfilter目錄下同名的ip_conntrack_max文件即可動(dòng)態(tài)修改連接系統的最大連接跟蹤數了。
第二步：注冊Netfilter所用的sockopt，先不講，以后再說(shuō)。只要知道是這里注冊的就行了。
第三步：為連接跟蹤hash表ip_conntrack_hash分配內存并進(jìn)行初始化。并創(chuàng )建連接跟蹤和期望連接跟蹤的高速緩存。
第四步：將TCP、UDP和ICMP協(xié)議的連接跟蹤協(xié)議體，根據不同協(xié)議的協(xié)議號，注冊到全局數組ip_ct_protos[]中，如下所示：
最后再做一些善后工作，例如注冊DROP這個(gè)target所需的功能函數，為其他諸如NAT這樣的模塊所需的參數ip_conntrack_untracked做初始化，關(guān)于這個(gè)參數我們在NAT模塊中再詳細討論它。
這樣，我們連接跟蹤系統的初始化工作就算徹底完成了。有了前幾篇關(guān)于連接跟蹤的基礎知識，再看代碼是不是有種神清氣爽，豁然開(kāi)朗的感覺(jué)。
至于連接跟蹤系統所提供的那五個(gè)hook函數的注冊，我想現在的你應該連都不用看就知道它所做的事情了吧。
聯(lián)系客服
