基于openswan klips的IPsec实现分析（八）内核SADB维护(2)

最新推荐文章于 2025-04-12 15:38:37 发布
最新推荐文章于 2025-04-12 15:38:37 发布
阅读量8k 收藏 3
点赞数
分类专栏： openswan源码分析 IPsec实现原理分析 文章标签： Openswan sadb sa esp
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/rosetta/article/details/8569767
版权
本文深入探讨了Linux内核如何处理基于openswan的IPsec协议安全联盟（SA）的增加和删除操作。通过pfkey_recvmsg和pfkey_sendmsg函数，阐述了内核接收和发送PF_KEY消息的过程，详细解析了pfkey_msg_interp函数中对SA、密钥、地址等信息的处理。同时，文章提到了satype2proto函数用于将应用层的协议类型转换为内核支持的协议号，以及内核如何将SA添加到哈希表中和从哈希表中删除的详细步骤。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

基于openswan klips的IPsec实现分析（七）内核SADB维护2

转载请注明出处：http://blog.youkuaiyun.com/rosetta

内核完整的消息处理过程，以隧道模式ESP协议增加SA情况为例

接收消息和发送消息的知识涉及到Linux内核了，所以不关注它是怎么收发，而是关注收到消息后对消息本身的处理过程。但为了保证代码的完整性，就把接收和发送的代码全部帖上来了(但省略部分比较长的调试信息)。

 

其接收发送函数调用关系如下：

pfkey_recvmsg（）接收消息

pfkey_sendmsg（）发送消息

　-> pfkey_msg_interp()解释消息后执行msg_parsers[]数组里相应函数（增加、删除SA等）。

         ->satype2proto()通过查表获取内核支持的协议号。

         ->pfkey_msg_parse()解析并处理消息是否有错，判断相应的协议是否有算法支持等。

         　->ext_processors[]()处理消息中具体的数据结构，如SA,密钥，地址，周期等。

                   ->msg_parsers[]()调用最终的SA处理函数。

 

在msg_parsers[]处理函数数组中的每个函数，如果需要，都会在处理完后通过pfkey_upmsg()函数把消息发到PF_KEY密钥套接字传递给应用层。

从应用层接收到消息

pfkey_recvmsg（）函数

/*

 *     Receive PF_KEY data up.

 */

DEBUG_NO_STATIC int

#ifdef NET_26

pfkey_recvmsg(struct kiocb *kiocb

               , struct socket *sock

               , struct msghdr *msg

               , size_t size

               , int flags)

#else

pfkey_recvmsg(struct socket *sock

               , struct msghdr *msg

               , int size, int flags

               , struct scm_cookie *scm)

#endif

{

         structsock *sk;

         intnoblock = flags & MSG_DONTWAIT;

         structsk_buff *skb;

         interror;

 

         if(sock== NULL) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_recvmsg: "

                                "Null socket passed in.\n");

                   return-EINVAL;

         }

 

         sk= sock->sk;　

 

         if(sk== NULL) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_recvmsg: "

                                "Null sock passed in forsock=0p%p.\n", sock);

                   return-EINVAL;

         }

 

         if(msg== NULL) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_recvmsg: "

                                "Null msghdr passed in for sock=0p%p,sk=0p%p.\n",

                                sock, sk);

                   return-EINVAL;

         }

 

         if(flags& ~MSG_PEEK) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "flags (%d) other than MSG_PEEK notsupported.\n",

                                flags);

                   return-EOPNOTSUPP;

         }

                  

         msg->msg_namelen= 0; /* sizeof(*ska); */

                  

         if(sk->sk_err){

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "sk->sk_err=%d.\n", sk->sk_err);

                   returnsock_error(sk);

         }

 

         if((skb= skb_recv_datagram(sk, flags, noblock, &error) )== NULL) {

                return error;

         }

 

         if(size> skb->len) {

                   size= skb->len;

         }

         elseif(size <skb->len) {

                   msg->msg_flags|= MSG_TRUNC;

         }

 

         skb_copy_datagram_iovec(skb,0, msg->msg_iov, size);

#ifdef HAVE_TSTAMP

         sk->sk_stamp.tv_sec  = skb->tstamp.off_sec;

         sk->sk_stamp.tv_usec= skb->tstamp.off_usec;

#else

       sk->sk_stamp=skb->stamp;

#endif

 

         skb_free_datagram(sk,skb);

         returnsize;

}

处理消息后发送给应用层

pfkey_sendmsg()函数

/*

 *     Send PF_KEY data down.

 */

DEBUG_NO_STATIC int

#ifdef NET_26

pfkey_sendmsg(struct kiocb *iocb, struct socket *sock, struct msghdr *msg, size_tlen)

#else

pfkey_sendmsg(struct socket *sock, structmsghdr *msg, int len, struct scm_cookie *scm)

#endif

{

         structsock *sk;

         interror = 0;

         //pfkey_msg用于存放来至应用层的数据.

struct sadb_msg*pfkey_msg = NULL, *pfkey_reply = NULL;

        

        

         if(sock== NULL) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "Null socket passed in.\n");

                   SENDERR(EINVAL);

         }

        

         sk= sock->sk;

 

         if(sk== NULL) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "Null sock passed in.\n");

                   SENDERR(EINVAL);

         }

        

         if(msg== NULL) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "Null msghdr passed in.\n");

                   SENDERR(EINVAL);

         }

 

         KLIPS_PRINT(debug_pfkey,

                       "klips_debug:pfkey_sendmsg:.\n");

         if(sk->sk_err){

                   error= sock_error(sk);

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "sk->err is non-zero, returns%d.\n",

                                error);

                   SENDERR(-error);

         }

 

         if((current->uid!= 0)) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "must be root to send messages topfkey sockets.\n");

                   SENDERR(EACCES);

         }

 

         if(msg->msg_control)

         {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "can't set flags or setmsg_control.\n");

                   SENDERR(EINVAL);

         }

                  

         if(sk->sk_shutdown& SEND_SHUTDOWN) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "shutdown.\n");

                   send_sig(SIGPIPE,current, 0);

                   SENDERR(EPIPE);

         }

        

         if(len< sizeof(struct sadb_msg)) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "bogus msg len of %d, toosmall.\n", (int)len);

                   SENDERR(EMSGSIZE);

         }

 

         KLIPS_PRINT(debug_pfkey,

                       "klips_debug:pfkey_sendmsg: "

                       "allocating %d bytes for downwardmessage.\n",

                       (int)len);

         //为pfkey_msg分配空间

         if((pfkey_msg= (struct sadb_msg*)kmalloc(len, GFP_KERNEL)) == NULL) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "memory allocation error.\n");

                   SENDERR(ENOBUFS);

         }

        

//拷贝待处理消息至pfkey_msg指向的缓冲区中

memcpy_fromiovec((void*)pfkey_msg, msg->msg_iov, len);

        

         //一些字段的正确性判断，比如版本，长度，是否是发向自己的消息等。

         if(pfkey_msg->sadb_msg_version!= PF_KEY_V2) {

                   KLIPS_PRINT(1|| debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "not PF_KEY_V2 msg, found %d, shouldbe %d.\n",

                                pfkey_msg->sadb_msg_version,

                                PF_KEY_V2);

                   kfree((void*)pfkey_msg);

                   return-EINVAL;

         }

 

         if(len!= pfkey_msg->sadb_msg_len * IPSEC_PFKEYv2_ALIGN) {

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "bogus msg len of %d, not %d bytealigned.\n",

                                (int)len, (int)IPSEC_PFKEYv2_ALIGN);

                   SENDERR(EMSGSIZE);

         }

 

         if(pfkey_msg->sadb_msg_reserved){

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "reserved field must be zero, set to%d.\n",

                                pfkey_msg->sadb_msg_reserved);

                   SENDERR(EINVAL);

         }

        

         if((pfkey_msg->sadb_msg_type> SADB_MAX) || (!pfkey_msg->sadb_msg_type)){

                   KLIPS_PRINT(debug_pfkey,

                                "klips_debug:pfkey_sendmsg: "

                                "msg type too large orsmall:%d.\n",

                                pfkey_msg->sadb_msg_

最低0.47元/天 解锁文章
ipsec内核实现分析
07-04
linux的ipsec内核实现源码分析，本人的源码阅读笔记，主要讲解了xfrm模块的实现和源码流程，有需要的可以下载参考
基于openswan klips的IPsec实现分析（二）数据接收
终身学习的程序猿
06-18 3539
基于openswan klips的IPsec VPN实现分析之数据接收 转载请注明出处：http://blog.youkuaiyun.com/rosetta 　　接收数据解密和加密发送数据处理基本相似，无非就是逆过程。 　　Klips对接收数据的处理流程如下: 　　数据解密过程（以esp为例） 　　ipsec_rcv() ->ipsec_rcv_decap()
IPsec在Linux内核2.4和2.6中实现之分析和比较.pdf
09-07
IPsec在Linux内核2.4和2.6中实现之分析和比较.pdf
基于openswan klips的IPsec实现分析（六）应用层SADB操作
终身学习的程序猿
06-18 3778
基于openswan klips的IPsec VPN实现分析（六）应用层SADB操作 转载请注明出处：http://blog.youkuaiyun.com/rosetta 这里的操作是指由openswan的密钥管理守护进程pluto对于内核SADB的操作。如下来至rfc2367的密钥关联程序和PF_KEY的关系图。
SADB参数定义差异分析
weixin_34252686的博客
05-14 395
本文档的Copyleft归yfydz所有，使用GPL发布，可以自由拷贝，转载，转载时请保持文档的完整性， 严禁用于任何商业用途。msn: yfydz_no1@hotmail.com来源：http://yfydz.cublog.cn 1. 前言 由于RFC2367中只定义了SA的类型，但没有定义安全策略的定义，因此各种IPSEC实现只能自己定义，openswan-2.4.7...
基于openswan klips的IPsec实现分析（七）内核SADB维护(1)
终身学习的程序猿
06-18 2036
基于openswan klips的IPsec VPN实现分析（七）内核SADB维护(1) 转载请注明出处：http://blog.youkuaiyun.com/rosetta 上一节讲了应用层pluto是如何构造SADB消息发送给内核的，这节将讲内核对SADB的维护，所有SA处理函数都在指针数组msg_parsers[]中。 SADB(SA Database)即SA数据库，一般听到数据库三字
基于openswan klips的IPsec实现分析（一）数据发送
终身学习的程序猿
06-18 6788
基于openswan klips的IPsec VPN实现分析之数据发送 转载请注明出处：http://blog.youkuaiyun.com/rosetta 　　Klips是openswan自带实现IPsec功能的模块，其主要实现数据加解密、安全关联、密钥管理、身份认证等功能，并以.ko模块插入到内核中运行。 　　Klips对外出数据的处理流程如下： 　　相关函数调用过程如下:
基于openswan klips的IPsec实现分析（九）加密算法维护
终身学习的程序猿
06-18 3604
基于openswan klips的IPsec VPN实现分析（九）加密算法维护 转载请注明出处：http://blog.youkuaiyun.com/rosetta 本节将介绍klips加密算法的维护，并介绍如何增加新加密算法的支持，下一节将讲认证算法维护和增加。 这里说的加密算法是指对称加密算法，是在通信过程中对传送的信息加解密时使用的，比如:AES,3DES,sm4等。
IPsec原理+实现 一文全介绍
qingwangheni的博客
01-28 3150
一组基于网络层，密码学的安全通信协议族。不具体指哪个协议，而是一个协议族。可用于VPN或单纯加密数据。在IP头中协议号为51。特点：只能校验数据，不能加密数据。哈希校验算法：SHA1或MD5AH在传输模式下封装：原始IP头+AH认证头+传输层+应用层AH在隧道模式下封装：新IP头+AH认证头+原始IP头++传输层+应用层。
Linux内核中PF_KEY协议族的实现(1)
dxphjt的专栏
05-13 419
Linux内核中PF_KEY协议族的实现(1) 本文档的Copyleft归yfydz所有，使用GPL发布，可以自由拷贝，转载，转载时请保持文档的完整性，严禁用于任何商业用途。 msn: yfydz_no1@hotmail.com 来源：http://yfydz.cublog.cn 1. 前言 在Linux2.6内核中自带了PF_KEY协议族的实现,这样就不用象2.4那样打补丁...
基于openswan klips的IPsec实现分析（五）应用层和内核通信(2)
终身学习的程序猿
06-18 2988
基于openswan klips的IPsec VPN实现分析（五）应用层和内核通信——内核操作 转载请注明出处：http://blog.youkuaiyun.com/rosetta 在数据发送一节讲过，加载模块时会执行pfkey_init()初始化与用户层通信的PF_KEY套接字，在这个函数里会把支持的协议和算法加到pfkey_supported_list[]全局数组中，并在soc
IPsec相关的一些基本概念
每天写一点，进步一点点
05-04 4320
问题提出:什么是xfrm,racoon,netkey,PF_KEY,netlink,clips,26sec，Setkey，KAME,ipsec? IPsec:Internet Protocol Security是一种开放标准的框架结构，通过使用加密的安全服务以确保在网络上进程保密而安全的通讯。IPsec IP层协议安全主要包括一个IP包进程模块和一个密钥交换模块，IPsec包的处理模块是基本
linux堆栈区别,Linux中的KLIPS和Netkey IPSEC堆栈之间的区别
weixin_36331312的博客
05-13 493
When you apply firewall (iptables) rules, KLIPS is the easier case,because with KLIPS, you can identify IPsec traffic, as this trafficgoes through ipsecX interfaces. You apply iptables rules to thesei...
openswan klips数据加解密过程
终身学习的程序猿
06-15 1656
本文档的Copyleft归rosetta所有，使用GPL发布，可以自由拷贝、转载，转载时请保持文档的完整性。         klips实现IP数据包的安全接受或发送的进程。在内核域中运行，主要负责控制管理SA及密钥，同时处理数据包的加密和解密工作。 数据加密过程:         ipsec_tunnel_start_xmit()                 ->ipsec_
深入理解PF_KEY及IPSEC_PLUTO的功能与应用
最新发布
weixin_42360733的博客
04-12 265
本文将详细介绍PF_KEY套接字的使用、程序pf_key的功能特点以及IPSEC_PLUTO守护进程的相关知识。PF_KEY是Linux下的一个安全策略接口，支持特定IPsec协议栈的密钥管理。而IPSEC_PLUTO是IPsec IKE密钥交换守护进程，提供了IPsec连接的控制接口。两者在安全通信领域中扮演着重要角色。
XFRM -- ipsec协议的内核实现框架
01-24 4034
目录 1 Overview 1.1 XFRM 实例 1.2 Netlink 通道 1.3 XFRM State 1.3 XFRM Policy 2 接收发送IPsec报文 2.1 接收 2.2 发送 IPsec协议帮助IP层建立安全可信的数据包传输通道。当前已经有了如StrongSwan、OpenSwan等比较成熟的解决方案，而它们都使用了Linux内核中的XFRM框架进行报文接收发送。 XFRM的正确读音是transform(转换), 这表示内核协议栈收到的IPsec报文需要经过转换才
Linux内核中的IPSEC实现(1)
dolphin98629的专栏
12-31 4941
Java代码   1. 前言      在Linux2.6内核中自带了IPSEC的实现,这样就不用象2.4那样打补丁来实现了。该实现包括以下几个部分: PF_KEY类型套接口, 用来提供和用户层空间进行PF_KEY通信，代码在net/key目录下，前面已经介绍过；安全联盟SA和安全策略SP管理，是使用xfrm库来实现的，代码在net/xfrm/目录下定义；ESP，AH等协议实现，
【内核IPSec代码分析1】术语与结构体
pet_dongdong的专栏
12-03 2391
术语 xfrm bundle 结构体 策略xfrm_policy 选择器xfrm_selector IKE配置模板xfrm_tmpl IPSec SA状态xfrm_state
C++实现ipsec ikev2
04-29
实现 IPsec IKEv2 需要使用一个现有的 IPsec 实现库，例如 StrongSwan 或 OpenSwan，这些库已经实现了 IKEv2 协议。您可以使用这些库来实现 IPsec IKEv2。以下是一些实现步骤： 1. 首先，您需要编写代码来配置 StrongSwan 或 OpenSwan 库，以便它们可以正确地实现 IKEv2 协议。这包括配置密钥交换算法、认证算法、加密算法等。 2. 然后，您需要编写代码来处理 IKEv2 协议的消息交换。这包括处理 IKE_SA_INIT、IKE_AUTH、CREATE_CHILD_SA 等消息。您需要正确地实现 IKEv2 协议的状态机，以确保消息交换的正确性和可靠性。 3. 接下来，您需要编写代码来实现 IPsec 协议的加密和解密。这包括配置加密算法、认证算法、密钥长度等。 4. 最后，您需要编写代码来配置 StrongSwan 或 OpenSwan 库，以确保它们正确地实现 IPsec 协议，并与 IKEv2 协议配合使用。 需要注意的是，实现 IPsec IKEv2 需要深入了解 IKEv2 和 IPsec 协议的细节，以及 StrongSwan 或 OpenSwan 库的实现细节。因此，这是一个比较复杂的任务，需要耗费一定的时间和精力。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值