suricata流表管理-流新建

原创 已于 2024-05-06 10:46:01 修改
· 486 阅读 · 6 ·
版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#服务器 #网络 #运维 #c语言

于 2024-01-11 15:04:12 首次发布
本文详细描述了FlowWoker接口中如何通过FlowHandlePacket处理数据包，涉及流表的匹配策略。当流表为空或匹配失败时，文章介绍了如何添加新节点和判断流节点状态的过程。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

新建流

FlowWoker接口中处理每个数据包，通过FlowHandlePacket完成对每个数据包的流匹配和新建工

FlowGetFlowFromHash分为三部分，流表空的状态处理，流表与数据包完成hash匹配为数据包关联对应的流。

1、如果流表是空的

2、如果流表中有数据且头节点流不匹配数据包

1）下一节点为空，拿一个新的节点放在流表头部

2）匹配到对应的流表，把这个表节点放在头部，并判断节点是否为待关闭状态（配置新的流）

3、如果第一条流就是匹配的流，判断节点是否为待关闭状态（配置新的流）

suricata的flow流会话管理分析1
每天分享一个编程小知识
06-05 840
1）就是当流表内存不够用时，会有一个紧急状态机制FLOW_EMERGENCY，这个时候不同协议以及不同流状态的老化时间会大大的缩短，加速流表老化，以腾出更多的内存空间为新流所用，例如紧急状态下TCP流的初建阶段的老化时长默认值为FLOW_IPPROTO_TCP_EMERG_NEW_TIMEOUT 10秒，而对于TCP握手完成之后的流老化时长默认为FLOW_IPPROTO_TCP_EMERG_EST_TIMEOUT 100秒。创建流表时，先优先从这些节点上获取flow。喜欢文章内容的朋友，加个关注呗~~
Suricata6.0流表管理源码注释一：流表管理简介
ljq32的专栏
01-07 3035
流管理包括流表的初始化，流的新建、查找、更新、检查老化、流的回收、空闲流数量的动态维护
suricata 流管理
10-31 727
suricata 流管理
suricata -- 流管理系统
xuwaiwai的博客
02-16 6542
suricata中使用 流（Flow）来管理一个会话。考虑到避免频繁分配释放Flow内存，suricata实现了流管理机制来回收与重复利用Flow。不同状态的Flow主要在Flow哈希表，Flow空闲队列，Flow回收队列三个队列中流转。suricata使用不同线程维护这三个队列。
suricata源码之-流表管理
村中少年的专栏
06-20 1763
suricata中的流表管理，包括流表初始化，流的新建以及流的老化
suricata 3.1 源码分析16 （流管理1）
superbfly的专栏
09-19 2151
在suricata.c的main函数执行完RunModeDispatch之后会在判断是否使用UNIX_SOCKET中调用FlowManagerThreadSpawn创建流管理线程。/** \brief spawn the flow manager thread */ void FlowManagerThreadSpawn() { #ifdef AFLFUZZ_DISABLE_MGTTHREADS
Suricata6.0流表管理源码注释九：补充：流新建过程中对于超时流的处理
ljq32的专栏
01-09 6459
流新建过程中对于超时流的处理
Suricata6.0流表管理源码注释六：流的老化02
ljq32的专栏
01-08 732
FlowTimeoutHash 函数老化处理
Suricata6.0流表管理源码注释三：流的建立01
ljq32的专栏
01-08 2968
流表建立
Suricata6.0流表管理源码注释八：流的回收01
ljq32的专栏
01-09 7447
流的回收
Suricata用户手册 V4.0.0
08-28
欢迎大家下载阅读，提出宝贵意见：resehist@gmail.com
suricata 3.1 源码分析17 （流管理2）
superbfly的专栏
09-20 1740
TmThreadsManagementstatic void *TmThreadsManagement(void *td) { /* block usr2. usr2 to be handled by the main thread only */ UtilSignalBlock(SIGUSR2); ThreadVars *tv = (ThreadVars *)td; //流
Suricata6.0流表管理源码注释二：流表初始化
ljq32的专栏
01-08 4000
这篇文章主要对流表初始化用到的主要函数进行注释。
开源IDS suricata源码分析（Flow管理流程）
m0_50638175的博客
09-28 1731
Suricata Flow管理 suricata 使用Flow结构维护会话信息，代码中维护了Flow哈希表（流表），Flow空闲队列，Flow回收队列三个结构，用于存储不同状态的Flow。 参与维护Flow结构的线程 FlowManager 从流表中摘除超时的流放入回收队列 检查空闲队列长度是否为预设值，若过长则释放一部分，若过短则申请一部分 FlowRecyler 从回收队列中摘除Flow，调用注册流输出模块的回掉，清空Flow信息，插入回收队列 FlowWorker 对于新到达的包，在流
Suricata-流的处理
Phantasm的博客
08-09 1215
Thank Zhihao Tao for your hard work. The document spent countless nights and weekends, using his hard work to make it convenient for everyone. If you have any questions, please send a email to zhihao.tao@outlook.com 文章目录1. 流的内存处理1.1 memcap选项1.2 hash_siz.
Suricata6.0流表管理源码注释四：流的建立02
ljq32的专栏
01-08 690
流的建立02，FlowGetNew
suricata 3.1 源码分析34 （FlowWorker处理流程3 - 流重用）
superbfly的专栏
12-30 2025
上一章提到了一个流重用的概念，这里主要说一下。根据code，所谓流重用仅仅重用了流的thread_id。其他内容都是新建流得来的，具体threa_id有什么作用以后看到了再分析，今天就说一下什么样的流可以被重用。//这就是判断包所属的流是否能重用的函数 int TcpSessionPacketSsnReuse(const Packet *p, const Flow *f, const void *t
suricata 3.1 源码分析13 （流初始化）
superbfly的专栏
09-13 2422
简介Suricata中用于管理和维护流的模块称为Flow Engine，主要由两部分实现，第一部分的入口点是FlowHandlePacket函数，用于为新数据包进行流查找/分配，另一部分是FlowManagerThread线程，用于对超时的流进行删除。初始化 初始化在FlowInitConfig中完成，与之相关的配置结构体为FlowConfig，其字段含义如下： 字段含义hash_rand用于随
suricata 3.1 源码分析15 （流更新）
superbfly的专栏
09-18 1727
流更新通过FlowWorker线程函数中调用FlowUpdate，FlowUpdate中又调用了FlowHandlePacketUpdate来更新流。 在获取到包所属的流后，接下来将根据这个包对流进行更新。/** \brief Update Packet and Flow * * Updates packet and flow based on the new packet. * *
(gdb) run -c /usr/local/etc/suricata/suricata.yaml --dpdkintel Starting program: -c /usr/local/etc/suricata/suricata.yaml --dpdkintel No executable file specified. Use the "file" or "exec-file" command.
05-30
这是一个 GDB 的调试信息，看起来你正在尝试调试一个程序，但是你没有指定可执行文件。你需要使用 "file" 或 "exec-file" 命令来指定一个可执行...(gdb) run -c /usr/local/etc/suricata/suricata.yaml --dpdkintel ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

强壮的向阳花

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值