Linux內(nèi)核實現(xiàn)多路鏡像流量聚合和復(fù)制

作者：linxinsnow 2014-09-24 11:01:10

我們在進(jìn)行安全性監(jiān)控、測試的過程中，難免會遇到這樣的問題：需要部署大量基于鏡像流量的安全設(shè)備，如IPS，異常流量，數(shù)據(jù)庫審計，流量分析等，可是交換機(jī)上可以做鏡像流量的端口數(shù)量有限制，購買專業(yè)的設(shè)備又太昂貴。

應(yīng)用場景

本文就針對此種情況，從Linux內(nèi)核模塊對網(wǎng)絡(luò)數(shù)據(jù)庫包進(jìn)行處理，解決上述問題。這里也感謝“白金PT”給予的幫助。

架構(gòu)設(shè)計

內(nèi)核模塊的流程比較簡單，轉(zhuǎn)發(fā)配置從用戶態(tài)提交給內(nèi)核模塊，如”eth1@eth2_eth1@eth3_eth1/eth4@eth5“，這段的配置是：

來自eth1的流量，復(fù)制給eth2和eth3

來自eth1和eth4的流量，聚合給eth5

MIRROR內(nèi)核模塊中，只需要實現(xiàn)參數(shù)讀取，配置分析，網(wǎng)卡判斷(源，目的)即可。

算法、代碼實現(xiàn)

參數(shù)輸入

這段代碼的功能是，將前面提到的如“eth1@eth2_eth1@eth3_eth1/eth4@eth5“這樣的參數(shù)，按照”_”進(jìn)行拆分，分段提交給參數(shù)設(shè)置函數(shù)”option_setup”

參數(shù)設(shè)置

這里我們把得到的參數(shù)”eth0@eth1”進(jìn)行進(jìn)一步的拆分，分出了源網(wǎng)卡eth0，目的網(wǎng)卡eth1，在內(nèi)核模塊的全局變量中，有一個結(jié)構(gòu)

”__read_mostly __u8 ethout_bits[MAX_OUT] ={0};“

用來存儲每個網(wǎng)卡對應(yīng)分發(fā)的網(wǎng)卡號，可以這樣理解，如果服務(wù)器有8個網(wǎng)卡，那么每個網(wǎng)都會有一個8位的二進(jìn)制數(shù)來標(biāo)明它的轉(zhuǎn)發(fā)，比如eth0復(fù)制到eth1，那么ethout_bits[0]就等于01000000，以此類推，如果我要把eth0復(fù)制到其他所有網(wǎng)卡，就會是01111111。

同時用一個全局的8字節(jié)變量，來存儲哪些網(wǎng)卡是鏡像流量口，防止多余的資源浪費(fèi)。

__read_mostly__u8 ifindex_bits = 0;

Skb包復(fù)制和轉(zhuǎn)發(fā)