62、深入解析Linux系统：网络、安全与特性全览

深入解析Linux系统：网络、安全与特性全览

1. Linux网络数据包处理机制

1.1 协议处理与路由决策

在Linux系统中，新的协议可以作为内核可加载模块添加到哈希表中。当有IP数据包传入时，会被交付给IP驱动。IP驱动的主要任务是进行路由决策，它会使用持久转发信息库（FIB）和最近路由决策缓存这两个表来完成此任务。
- FIB ：包含路由配置信息，可以基于特定目的地址或代表多个目的地的通配符来指定路由。它以目的地址为索引组织成一组哈希表，最具体的路由表总是最先被搜索。
- 路由缓存 ：仅按特定目的地缓存路由，不存储通配符，因此查找速度很快。如果一段时间内没有命中，缓存条目就会过期。

1.2 防火墙管理

IP软件在处理数据包的不同阶段，会将数据包传递给专门的防火墙管理代码部分。防火墙管理器维护多个独立的防火墙链，允许将套接字缓冲区（skbuff）与任何链进行匹配。这些链有不同的用途，例如用于转发数据包、输入到本地主机的数据包以及本地主机生成的数据。每个链都是一个有序的规则列表，规则指定了可能的防火墙决策函数之一以及用于匹配的任意数据。

1.3 数据包的拆分与重组

IP驱动还负责处理大数据包的拆分和重组。如果传出数据包太大无法排入设备队列，它会被拆分成较小的片段，然后全部排入驱动队列。在接收主机端，这些片段需要重新组装。IP驱动为每个等待重组的片段维护一个ipfrag对象，为每个正在组装的数据报维护一个ipq。传入的片段会与已知的ipq进行匹配，如果匹配成功则添加到相应的ipq中，否则创建一个新的ipq。当一个