技术笔记

BPF过滤

Properties1
tagsiptables, bpf

9分钟阅读

BPF（Berkeley Packet Filter）是一种强大的数据包过滤机制，用于在数据链路层对数据包进行过滤。BPF 通常用于数据包捕获和分析工具，如 tcpdump、Wireshark 和各种网络监控工具。它允许用户在内核空间高效地过滤数据包，只捕获和处理感兴趣的数据包，从而减少不必要的数据传输和处理开销。

BPF 过滤器简介

BPF 是一种低级编程语言，用于定义过滤规则。过滤规则在内核中编译并执行，允许非常高效的数据包过滤。BPF 过滤器通常由一系列条件组成，这些条件可以基于数据包的各种属性，如协议、端口、IP 地址等。

基本语法和示例

BPF 过滤器使用表达式语言来定义过滤条件。以下是一些常见的 BPF 过滤器语法和示例：

1. 协议过滤

  • 过滤IP数据包：ip 或 ip6

    ip

  • 过滤TCP数据包：tcp

    tcp

  • 过滤UDP数据包：udp

    udp

  • 过滤ARP数据包：arp

    arp

2. 端口过滤

  • 过滤特定目的端口：port

    tcp port 80

  • 过滤源端口：src port

    tcp src port 22

  • 过滤目的端口：dst port

    tcp dst port 443

  • 过滤端口范围：portrange

    tcp portrange 1000-2000

3. IP 地址过滤

  • 过滤特定源IP地址：src host

    src host 192.0.2.9

  • 过滤特定目的IP地址：dst host

    dst host 192.0.2.1.1

  • 过滤任意IP地址：host

    host 192.0.2.9

4. 组合过滤

  • 使用逻辑运算符：and、or、not 
    tcp port 80 and src host 192.0.2.9
tcp port 80 or tcp port 443
not tcp port 22

详细示例

以下是一些复杂的 BPF 过滤器示例：

1. 过滤特定的 TCP SYN 数据包

仅捕获 TCP SYN 数据包（用于建立连接的初始数据包）：

tcp[tcpflags] & tcp-syn != 0

2. 过滤特定 IP 范围的数据包

捕获源地址在 192.0.2.8/24 范围内的所有数据包：

src net 192.0.2.8/24

3. 过滤特定子网的数据包

捕获源地址在 192.0.2.8/24 范围内的所有数据包：

src net 192.0.2.8/24

在 Go 中使用 BPF 过滤器

使用 gopacket 库和 pcap 包在 Go 中设置和使用 BPF 过滤器。以下是一个示例：

安装依赖

go get github.com/google/gopacket
go get github.com/google/gopacket/pcap

示例代码

package main
 
import (
    "fmt"
    "log"
    "sync"
    "github.com/google/gopacket"
    "github.com/google/gopacket/pcap"
)
 
const (
    device      = "eth0"  // 修改为你的网络接口
    snapshotLen = int32(1024)
    promiscuous = false
    timeout     = pcap.BlockForever
)
 
// 定义过滤规则
var filters = []string{
    "tcp and port 80",
    "tcp and port 22",
    "udp",
}
 
// 数据包处理函数
func processPackets(device string, filter string, wg *sync.WaitGroup) {
    defer wg.Done()
 
    // 打开设备进行捕获
    handle, err := pcap.OpenLive(device, snapshotLen, promiscuous, timeout)
    if err != nil {
        log.Fatalf("Error opening device %s: %v", device, err)
    }
    defer handle.Close()
 
    // 设置BPF过滤器
    err = handle.SetBPFFilter(filter)
    if err != nil {
        log.Fatalf("Error setting BPF filter %s: %v", filter, err)
    }
    fmt.Printf("Capturing packets on %s with filter %s\n", device, filter)
 
    // 使用PacketSource从handle中读取数据包
    packetSource := gopacket.NewPacketSource(handle, handle.LinkType())
    for packet := range packetSource.Packets() {
        fmt.Printf("Captured packet with filter %s: %v\n", filter, packet)
    }
}
 
func main() {
    // 使用sync.WaitGroup等待所有goroutine完成
    var wg sync.WaitGroup
 
    // 启动多个goroutine，每个goroutine处理一个过滤规则
    for _, filter := range filters {
        wg.Add(1)
        go processPackets(device, filter, &wg)
    }
 
    // 等待所有goroutine完成
    wg.Wait()
}

解释

  • 打开设备：使用 pcap.OpenLive 打开网络接口进行数据包捕获。
  • 设置BPF过滤器：使用 handle.SetBPFFilter 设置 BPF 过滤器，只捕获 TCP 端口 80 的数据包。
  • 读取和处理数据包：使用 gopacket.NewPacketSource 从网络接口读取过滤后的数据包，并打印每个捕获的数据包。

通过这种方法，你可以在 Go 程序中使用 BPF 过滤器高效地捕获和处理特定网络流量。这对于网络监控、安全分析和流量管理非常有用。

BPF 和 iptables 的关系

了解了你的问题后，这里给出详细的解释，以澄清 BPF 和 iptables 在网络包处理中的具体顺序和关系。

BPF 和 iptables 的处理顺序

  1. BPF（Berkeley Packet Filter）：

    • 位置：BPF 用于在数据包捕获阶段进行过滤，主要应用于数据包捕获工具（如 tcpdump、Wireshark 等）。
    • 功能：它在内核中执行，决定哪些数据包会传递到用户空间供捕获工具处理。

  2. iptables：

    • 位置：iptables 在 Linux 内核的 Netfilter 框架内工作，数据包在到达用户空间之前会经过 iptables 的处理。
    • 功能：根据设定的规则，决定数据包的处理方式，例如允许、丢弃、修改或转发。

详细处理流程

1. 数据包捕获和处理顺序

  1. 网络接口接收数据包：数据包首先到达网络接口。
  2. BPF 过滤器：如果设置了 BPF 过滤器（如 tcpdump），BPF 会在内核中过滤数据包，决定哪些数据包需要传递到用户空间捕获工具。
  3. Netfilter 框架（iptables）：
    • 数据包进入 Netfilter 框架，iptables 规则在此阶段应用。
    • iptables 根据设定的规则决定数据包的处理方式，例如丢弃、允许或修改数据包。
  4. 用户空间工具（如 tcpdump）：如果数据包通过了 iptables 规则，并且满足 BPF 过滤条件，则传递到用户空间的捕获工具。

2. 示例分析

场景 1：没有 iptables 规则

  • tcpdump 命令： 
    sudo tcpdump port 80
    此时，tcpdump 设置的 BPF 过滤器会在内核中过滤出端口 80 的数据包，然后传递到 tcpdump 进行捕获和显示。

场景 2：配置了 iptables 规则丢弃端口 80 的流量

  • iptables 命令：

    sudo iptables -A INPUT -p tcp --dport 80 -j DROP

  • tcpdump 命令：

    sudo tcpdump port 80

    在这种情况下，数据包首先到达网络接口，BPF 过滤器会捕获到端口 80 的流量并传递到用户空间。但是，由于 iptables 规则在数据包处理阶段丢弃了这些数据包，它们不会到达 tcpdump。因此，tcpdump 无法捕获到这些被 iptables 规则丢弃的包。

总结

  • BPF 过滤器在数据包捕获阶段生效，决定哪些数据包传递到用户空间。
  • iptables 规则在数据包处理阶段生效，可以丢弃或修改数据包。
  • 如果 iptables 规则丢弃了某个数据包，即使 BPF 过滤器设置了捕获条件，这个数据包也不会到达用户空间的捕获工具。

因此，iptables 规则的丢弃操作优先于 BPF 过滤器的捕获操作，这是为什么配置 iptables 丢弃规则后 tcpdump 无法捕获到被丢弃数据包的原因。

关系图谱