1.表Linux刷新ARP表快速安全实现网络连接linux刷新arp
2.linux arp命令
3.linux网络协议：ARP地址解析协议原理
4.Linux实现ARP缓存老化时间原理问题深入解析
5.linuxarp命令linuxarp
6.通过源码理解rarp协议（基于linux1.2.13）

表Linux刷新ARP表快速安全实现网络连接linux刷新arp

       以下文章仅用于学习借鉴，源码不可直接用于其他用途。源码

       Linux刷新ARP表：快速、源码安全实现网络连接

       Linux是源码一款可靠、可信赖的源码操作系统，有着良好的源码串口模块 源码查询网络连接能力，对于一些网络问题，源码如何实现快速、源码安全的源码网络连接，刷新ARP表就可达成此目的源码。本文将分享Linux刷新ARP表的源码相关方法、步骤和注意事项，源码以保证网络连接及时有效地实现。源码

       ARP（Address Resolution Protocol）即IP到物理地址的源码解析协议，是源码 Linux 系统的一个指令，用于将IP地址（位）转换为 MAC 地址（位）。ARP表用于保存本机设备的IP地址和MAC地址信息，是决定网络包有效路由的关键一步，用于默认路由决策表等，也就是说刷新ARP表就是在保证网络有效决策的关键环节。

       Linux刷新ARP表的具体步骤如下：

       1. 向ARP表发送请求：执行“arp -a”指令，此指令可请求ARU表中记录的所有IP——MAC地址对应关系，并显示出来。

       2. 使用arp指令：使用arp -a的参数，可将ARP表中的指定IP地址的MAC地址更新为新的MAC地址。

       3. 重置ARP表：执行“arp -d”指令，此指令可清空ARP表中的缓存记录，然后重新发送新的网络请求，以重新建立ARP表。

       4. 重启网络服务：重启本机上的网络服务，如有必要，可使用“/etc/init.d/network restart”指令重启网络服务，以完成彻底的ARP表刷新。

       由于ARP表中的内容可能发生变化，所以Linux用户有时候需要手动刷新ARP表，以便建立最新的网路连接。因此要正确、安全地刷新ARP表，还需要注意以下几点：

       1. 任何arp指令均应在登录root账号后执行，elementtable源码以保证指令正确、有效地执行；

       2. 任何arp指令执行过后，应先进行简单的检查，以确保网络正常工作；

       3. 重启网络服务时，需检查网络是否完全正常，以免网络出现不可预知的错误。

       由于网络的变化多端，若要保证Linux系统的网络连接能够正常运转，就需要及时刷新ARP表。本文就Linux刷新ARP表的步骤和相关注意事项，给出了以上推荐，希望对读者有所帮助。

linux arp命令

       linux系统arp命令怎么用？让我们一起来了解下。

       基本介绍：arp命令用于操作主机的arp缓存，它可以显示arp缓存中的所有条目、删除指定的条目或者添加静态的ip地址与MAC地址对应关系。

       入门测试：

       显示本机arp缓存中所有记录：

       # arp

       代码说明及拓展：

       -a 显示arp缓存的所有条目，主机位可选参数

       -H 指定arp指令使用的地址类型

       -d 从arp缓存中删除指定主机的arp条目

       -D 使用指定接口的硬件地址

       -e 以linux的显示风格显示arp缓存中的条目

       -i 指定要操作arp缓存的网络接口

       -n 以数字方式显示arp缓存中的条目

       -v 显示详细的arp缓存条目，包括缓存条目的统计信息

       -f 设置主机的IP地址与MAC地址的静态映射

       今天的分享就是这些，希望能帮助大家。

linux网络协议：ARP地址解析协议原理

       在Linux网络通信中，为了在IP地址与物理地址（MAC地址）之间进行转换，IPv4使用了ARP（地址解析协议）。ARP协议负责动态地建立网络层（IP地址）与链路层（MAC地址）之间的映射关系，这对于数据帧的传输至关重要。

       MAC地址，由设备制造商分配，每个硬件设备都有一个固定的链路层地址，存储在设备的内存中，不会改变。而IP地址则由用户配置，可随网络配置而变动，通过DHCP协议获取。当主机A需要与主机B通信时，它会发送一个ARP请求到局域网，广播形式地包含目标主机的IP地址，请求其对应的MAC地址。

       收到请求的btchanges源码主机B，如果发现请求的IP地址与自己匹配，会发送一个应答，包含其MAC地址。源主机A收到应答后，将目标的IP地址和MAC地址加入本地的ARP缓存，以便后续数据传输。这个缓存是ARP高效运作的关键，但它也会随着时间产生过期条目，通常每分钟更新一次。

       如果ARP缓存中找不到对应的映射，主机会广播ARP请求，直到找到对应地址。同时，ARP缓存中还记录了请求的来源，通过Flags字段区分动态获取、手动设置或公开的映射。ARP报文以以太网帧的形式传输，包括MAC地址类型、协议类型、硬件和协议地址长度，以及请求或应答类型。

       对于跨网段通信，ARP代理如路由器介入，处理不同网络间的地址解析请求。此外，免费ARP（请求自身IP地址）则用于检测IP地址冲突和更新网络中的地址映射。通过编写脚本，可以简单地通过ping操作，获取同一局域网内的其他主机的MAC地址。

       了解这些原理后，可以更好地管理网络通信，优化数据包处理，以及处理网络设备的IP和MAC地址转换问题。

Linux实现ARP缓存老化时间原理问题深入解析

       众所周知，ARP是一个链路层的地址解析协议，它以IP地址为键值，查询保有该IP地址主机的MAC地址。协议的frida 源码详情就不详述了，你可以看RFC，也可以看教科书。这里写这么一篇文章，主要是为了做一点记录，同时也为同学们提供一点思路。具体呢，我遇到过两个问题：

       1.使用keepalived进行热备份的系统需要一个虚拟的IP地址，然而该虚拟IP地址到底属于哪台机器是根据热备群的主备来决定的，因此主机器在获得该虚拟IP的时候，必须要广播一个免费的arp，起初人们认为这没有必要，理由是不这么做，热备群也工作的很好，然而事实证明，这是必须的；

       2.ARP缓存表项都有一个老化时间，然而在linux系统中却没有给出具体如何来设置这个老化时间。那么到底怎么设置这个老化时间呢？

二.解答问题前的说明

       ARP协议的规范只是阐述了地址解析的细节，然而并没有规定协议栈的实现如何去维护ARP缓存。ARP缓存需要有一个到期时间，这是必要的，因为ARP缓存并不维护映射的状态，也不进行认证，因此协议本身不能保证这种映射永远都是正确的，它只能保证该映射在得到arp应答之后的一定时间内是有效的。这也给了ARP欺骗以可乘之机，不过本文不讨论这种欺骗。

       像Cisco或者基于VRP的华为设备都有明确的配置来配置arp缓存的到期时间，然而Linux系统中却没有这样的配置，起码可以说没有这样的直接配置。Linux用户都知道如果需要配置什么系统行为，那么使用sysctl工具配置procfs下的sys接口是一个方法，然而当我们google了好久，终于发现关于ARP的配置处在/proc/sys/net/ipv4/neigh/ethX的时候，我们最终又迷茫于该目录下的N多文件，即使去查询Linux内核的Documents也不能清晰的明了这些文件的具体含义。对于Linux这样的成熟系统，一定有办法来配置ARP缓存的到期时间，但是visualc 源码具体到操作上，到底怎么配置呢？这还得从Linux实现的ARP状态机说起。

       如果你看过《Understading Linux Networking Internals》并且真的做到深入理解的话，那么本文讲的基本就是废话，但是很多人是没有看过那本书的，因此本文的内容还是有一定价值的。

       Linux协议栈实现为ARP缓存维护了一个状态机，在理解具体的行为之前，先看一下下面的图(该图基于《Understading Linux Networking Internals》里面的图-修改，在第二十六章)：

       在上图中，我们看到只有arp缓存项的reachable状态对于外发包是可用的，对于stale状态的arp缓存项而言，它实际上是不可用的。如果此时有人要发包，那么需要进行重新解析，对于常规的理解，重新解析意味着要重新发送arp请求，然后事实上却不一定这样，因为Linux为arp增加了一个“事件点”来“不用发送arp请求”而对arp协议生成的缓存维护的优化措施，事实上，这种措施十分有效。这就是arp的“确认”机制，也就是说，如果说从一个邻居主动发来一个数据包到本机，那么就可以确认该包的“上一跳”这个邻居是有效的，然而为何只有到达本机的包才能确认“上一跳”这个邻居的有效性呢？因为Linux并不想为IP层的处理增加负担，也即不想改变IP层的原始语义。

       Linux维护一个stale状态其实就是为了保留一个neighbour结构体，在其状态改变时只是个别字段得到修改或者填充。如果按照简单的实现，只保存一个reachable状态即可，其到期则删除arp缓存表项。Linux的做法只是做了很多的优化，但是如果你为这些优化而绞尽脑汁，那就悲剧了...

三.Linux如何来维护这个stale状态

       在Linux实现的ARP状态机中，最复杂的就是stale状态了，在此状态中的arp缓存表项面临着生死抉择，抉择者就是本地发出的包，如果本地发出的包使用了这个stale状态的arp缓存表项，那么就将状态机推进到delay状态，如果在“垃圾收集”定时器到期后还没有人使用该邻居，那么就有可能删除这个表项了，到底删除吗？这样看看有木有其它路径使用它，关键是看路由缓存，路由缓存虽然是一个第三层的概念，然而却保留了该路由的下一条的ARP缓存表项，这个意义上，Linux的路由缓存实则一个转发表而不是一个路由表。

       如果有外发包使用了这个表项，那么该表项的ARP状态机将进入delay状态，在delay状态中，只要有“本地”确认的到来(本地接收包的上一跳来自该邻居)，linux还是不会发送ARP请求的，但是如果一直都没有本地确认，那么Linux就将发送真正的ARP请求了，进入probe状态。因此可以看到，从stale状态开始，所有的状态只是为一种优化措施而存在的，stale状态的ARP缓存表项就是一个缓存的缓存，如果Linux只是将过期的reachable状态的arp缓存表项删除，语义是一样的，但是实现看起来以及理解起来会简单得多！

       再次强调，reachable过期进入stale状态而不是直接删除，是为了保留neighbour结构体，优化内存以及CPU利用，实际上进入stale状态的arp缓存表项时不可用的，要想使其可用，要么在delay状态定时器到期前本地给予了确认，比如tcp收到了一个包，要么delay状态到期进入probe状态后arp请求得到了回应。否则还是会被删除。

四.Linux的ARP缓存实现要点

       在blog中分析源码是儿时的记忆了，现在不再浪费版面了。只要知道Linux在实现arp时维护的几个定时器的要点即可。

       1.Reachable状态定时器

       每当有arp回应到达或者其它能证明该ARP表项表示的邻居真的可达时，启动该定时器。到期时根据配置的时间将对应的ARP缓存表项转换到下一个状态。

       2.垃圾回收定时器

       定时启动该定时器，具体下一次什么到期，是根据配置的base_reachable_time来决定的，具体见下面的代码：

       复制代码

       代码如下:

       static void neigh_periodic_timer(unsigned long arg)

           {

           ...

           if (time_after(now, tbl-last_rand + * HZ)) { //内核每5分钟重新进行一次配置

           struct neigh_parms *p;

           tbl-last_rand = now;

           for (p = tbl-parms; p; p = p-next)

           p-reachable_time =

           neigh_rand_reach_time(p-base_reachable_time);

           }

           ...

           /* Cycle through all hash buckets every base_reachable_time/2 ticks.

           * ARP entry timeouts range from 1/2 base_reachable_time to 3/2

           * base_reachable_time.

           */

           expire = tbl-parms.base_reachable_time 1;

           expire /= (tbl-hash_mask + 1);

           if (!expire)

           expire = 1;

           //下次何时到期完全基于base_reachable_time);

           mod_timer(tbl-gc_timer, now + expire);

           ...

           }

           static void neigh_periodic_timer(unsigned long arg)

           {

           ...

           if (time_after(now, tbl-last_rand + * HZ)) { //内核每5分钟重新进行一次配置

           struct neigh_parms *p;

           tbl-last_rand = now;

           for (p = tbl-parms; p; p = p-next)

           p-reachable_time =

           neigh_rand_reach_time(p-base_reachable_time);

           }

           ...

           /* Cycle through all hash buckets every base_reachable_time/2 ticks.

           * ARP entry timeouts range from 1/2 base_reachable_time to 3/2

           * base_reachable_time.

           */

           expire = tbl-parms.base_reachable_time 1;

           expire /= (tbl-hash_mask + 1);

           if (!expire)

           expire = 1;

           //下次何时到期完全基于base_reachable_time);

           mod_timer(tbl-gc_timer, now + expire);

           ...

           }

       一旦这个定时器到期，将执行neigh_periodic_timer回调函数，里面有以下的逻辑，也即上面的...省略的部分：

       复制代码

       代码如下:

       if (atomic_read(n-refcnt) == 1 //n-used可能会因为“本地确认”机制而向前推进

           (state == NUD_FAILED ||time_after(now, n-used + n-parms-gc_staletime))) {

           *np = n-next;

           n-dead = 1;

           write_unlock(n-lock);

           neigh_release(n);

           continue;

           }

           if (atomic_read(n-refcnt) == 1 //n-used可能会因为“本地确认”机制而向前推进

           (state == NUD_FAILED ||time_after(now, n-used + n-parms-gc_staletime))) {

           *np = n-next;

           n-dead = 1;

           write_unlock(n-lock);

           neigh_release(n);

           continue;

           }

       如果在实验中，你的处于stale状态的表项没有被及时删除，那么试着执行一下下面的命令：

       [plain] view plaincopyprint?ip route flush cache

       ip route flush cache然后再看看ip neigh ls all的结果，注意，不要指望马上会被删除，因为此时垃圾回收定时器还没有到期呢...但是我敢保证，不长的时间之后，该缓存表项将被删除。

五.第一个问题的解决

       在启用keepalived进行基于vrrp热备份的群组上，很多同学认为根本不需要在进入master状态时重新绑定自己的MAC地址和虚拟IP地址，然而这是根本错误的，如果说没有出现什么问题，那也是侥幸，因为各个路由器上默认配置的arp超时时间一般很短，然而我们不能依赖这种配置。请看下面的图示：

       如果发生了切换，假设路由器上的arp缓存超时时间为1小时，那么在将近一小时内，单向数据将无法通信(假设群组中的主机不会发送数据通过路由器，排出“本地确认”，毕竟我不知道路由器是不是在运行Linux)，路由器上的数据将持续不断的法往原来的master，然而原始的matser已经不再持有虚拟IP地址。

       因此，为了使得数据行为不再依赖路由器的配置，必须在vrrp协议下切换到master时手动绑定虚拟IP地址和自己的MAC地址，在Linux上使用方便的arping则是：

       [plain] view plaincopyprint?arping -i ethX -S 1.1.1.1 -B -c 1

       arping -i ethX -S 1.1.1.1 -B -c 1这样一来，获得1.1.1.1这个IP地址的master主机将IP地址为...的ARP请求广播到全网，假设路由器运行Linux，则路由器接收到该ARP请求后将根据来源IP地址更新其本地的ARP缓存表项(如果有的话)，然而问题是，该表项更新的结果状态却是stale，这只是ARP的规定，具体在代码中体现是这样的，在arp_process函数的最后：

       复制代码

       代码如下:

       if (arp-ar_op != htons(ARPOP_REPLY) || skb-pkt_type != PACKET_HOST)

           state = NUD_STALE;

           neigh_update(n, sha, state, override ? NEIGH_UPDATE_F_OVERRIDE : 0);

           if (arp-ar_op != htons(ARPOP_REPLY) || skb-pkt_type != PACKET_HOST)

           state = NUD_STALE;

           neigh_update(n, sha, state, override ? NEIGH_UPDATE_F_OVERRIDE : 0);

       由此可见，只有实际的外发包的下一跳是1.1.1.1时，才会通过“本地确认”机制或者实际发送ARP请求的方式将对应的MAC地址映射reachable状态。

       更正：在看了keepalived的源码之后，发现这个担心是多余的，毕竟keepalived已经很成熟了，不应该犯“如此低级的错误”，keepalived在某主机切换到master之后，会主动发送免费arp，在keepalived中有代码如是：

       复制代码

       代码如下:

       vrrp_send_update(vrrp_rt * vrrp, ip_address * ipaddress, int idx)

           {

           char *msg;

           char addr_str[];

           if (!IP_IS6(ipaddress)) {

           msg = "gratuitous ARPs";

           inet_ntop(AF_INET, ipaddress-u.sin.sin_addr, addr_str, );

           send_gratuitous_arp(ipaddress);

           } else {

           msg = "Unsolicited Neighbour Adverts";

           inet_ntop(AF_INET6, ipaddress-u.sin6_addr, addr_str, );

           ndisc_send_unsolicited_na(ipaddress);

           }

           if (0 == idx debug ) {

           log_message(LOG_INFO, "VRRP_Instance(%s) Sending %s on %s for %s",

           vrrp-iname, msg, IF_NAME(ipaddress-ifp), addr_str);

           }

           }

           vrrp_send_update(vrrp_rt * vrrp, ip_address * ipaddress, int idx)

           {

           char *msg;

           char addr_str[];

           if (!IP_IS6(ipaddress)) {

           msg = "gratuitous ARPs";

           inet_ntop(AF_INET, ipaddress-u.sin.sin_addr, addr_str, );

           send_gratuitous_arp(ipaddress);

           } else {

           msg = "Unsolicited Neighbour Adverts";

           inet_ntop(AF_INET6, ipaddress-u.sin6_addr, addr_str, );

           ndisc_send_unsolicited_na(ipaddress);

           }

           if (0 == idx debug ) {

           log_message(LOG_INFO, "VRRP_Instance(%s) Sending %s on %s for %s",

           vrrp-iname, msg, IF_NAME(ipaddress-ifp), addr_str);

           }

           }

六.第二个问题的解决

       扯了这么多，在Linux上到底怎么设置ARP缓存的老化时间呢？

       我们看到/proc/sys/net/ipv4/neigh/ethX目录下面有多个文件，到底哪个是ARP缓存的老化时间呢？实际上，直接点说，就是base_reachable_time这个文件。其它的都只是优化行为的措施。比如gc_stale_time这个文件记录的是“ARP缓存表项的缓存”的存活时间，该时间只是一个缓存的缓存的存活时间，在该时间内，如果需要用到该邻居，那么直接使用表项记录的数据作为ARP请求的内容即可，或者得到“本地确认”后直接将其置为reachable状态，而不用再通过路由查找，ARP查找，ARP邻居创建，ARP邻居解析这种慢速的方式。

       默认情况下，reachable状态的超时时间是秒，超过秒，ARP缓存表项将改为stale状态，此时，你可以认为该表项已经老化到期了，只是Linux的实现中并没有将其删除罢了，再过了gc_stale_time时间，表项才被删除。在ARP缓存表项成为非reachable之后，垃圾回收器负责执行“再过了gc_stale_time时间，表项才被删除”这件事，这个定时器的下次到期时间是根据base_reachable_time计算出来的，具体就是在neigh_periodic_timer中：

       复制代码

       代码如下:

       if (time_after(now, tbl-last_rand + * HZ)) {

           struct neigh_parms *p;

           tbl-last_rand = now;

           for (p = tbl-parms; p; p = p-next)

           //随计化很重要，防止“共振行为”引发的ARP解析风暴

           p-reachable_time =neigh_rand_reach_time(p-base_reachable_time);

           }

           ...

           expire = tbl-parms.base_reachable_time 1;

           expire /= (tbl-hash_mask + 1);

           if (!expire)

           expire = 1;

           mod_timer(tbl-gc_timer, now + expire);

           if (time_after(now, tbl-last_rand + * HZ)) {

           struct neigh_parms *p;

           tbl-last_rand = now;

           for (p = tbl-parms; p; p = p-next)

           //随计化很重要，防止“共振行为”引发的ARP解析风暴

           p-reachable_time =neigh_rand_reach_time(p-base_reachable_time);

           }

           ...

           expire = tbl-parms.base_reachable_time 1;

           expire /= (tbl-hash_mask + 1);

           if (!expire)

           expire = 1;

           mod_timer(tbl-gc_timer, now + expire);

       可见一斑啊！适当地，我们可以通过看代码注释来理解这一点，好心人都会写上注释的。为了实验的条理清晰，我们设计以下两个场景：

       1.使用iptables禁止一切本地接收，从而屏蔽arp本地确认，使用sysctl将base_reachable_time设置为5秒，将gc_stale_time为5秒。

       2.关闭iptables的禁止策略，使用TCP下载外部网络一个超大文件或者进行持续短连接，使用sysctl将base_reachable_time设置为5秒，将gc_stale_time为5秒。

       在两个场景下都使用ping命令来ping本地局域网的默认网关，然后迅速Ctrl-C掉这个ping，用ip neigh show all可以看到默认网关的arp表项，然而在场景1下，大约5秒之内，arp表项将变为stale之后不再改变，再ping的话，表项先变为delay再变为probe，然后为reachable，5秒之内再次成为stale，而在场景2下，arp表项持续为reachable以及dealy，这说明了Linux中的ARP状态机。那么为何场景1中，当表项成为stale之后很久都不会被删除呢？其实这是因为还有路由缓存项在使用它，此时你删除路由缓存之后，arp表项很快被删除。

七.总结

       1.在Linux上如果你想设置你的ARP缓存老化时间，那么执行sysctl -w net.ipv4.neigh.ethX=Y即可，如果设置别的，只是影响了性能，在Linux中，ARP缓存老化以其变为stale状态为准，而不是以其表项被删除为准，stale状态只是对缓存又进行了缓存；

       2.永远记住，在将一个IP地址更换到另一台本网段设备时，尽可能快地广播免费ARP，在Linux上可以使用arping来玩小技巧。

linuxarp命令linuxarp

       LinuxArp命令显示和修改地址解析协议(ARP)使用的“IP到物理”地址转换表。

       ARP-sinet_addreth_addrARP-dinet_addrARP-a-a通过询问当前协议数据，显示当前ARP项。

       å¦‚果指定inet_addr，则只显示指定计算机的IP地址和物理地址。

       å¦‚果不止一个网络接口使用ARP，则显示每个ARP表的项。-g与-a相同。

       -v在详细模式下显示当前ARP项。所有无效项和环回接口上的项都将显示。

       inet_addr指定Internet地址(IP地址)。

       -Nif_addr显示if_addr指定的网络接口的ARP项。

       -d删除inet_addr指定的主机。

       inet_addr可以是通配符*，以删除所有主机。-s添加主机并且将Internet地址inet_addr与物理地址eth_addr相关联。

       ç‰©ç†åœ°å€æ˜¯ç”¨è¿žå­—符分隔的6个十六进制字节。该项是永久的。

       eth_addr指定物理地址。

       if_addr如果存在，此项指定地址转换表应修改的接口的Internet地址。如果不存在，则使用第一个适用的接口。

       ç¤ºä¾‹:添加静态项。

       è¿™ä¸ªå¾ˆæœ‰ç”¨ï¼Œç‰¹åˆ«æ˜¯å±€åŸŸç½‘中中了arp病毒以后#arp-s...:::6F::D2#arp-a....显示ARP表。但是arp-s设置的静态项在用户登出之后或重起之后会失效，如果想要任何时候都不失效，可以将ip和mac的对应关系写入arp命令默认的配置文件/etc/ethers中例如：引用root@ubuntu:/#vi/etc/ethers...::D9::BF:写入之后执行下面的命令就好了引用arp-f/etc/ethers为保证重起之后绑定仍然有效，需要把上述命令写入/etc/ethersARP(AddressResolutionProtocol)，或称地址解析协议。

       æœ¬åœ°æœºå‘某个IP地址--目标机IP地址发送数据时，先查找本地的ARP表，如果在ARP表中找到目标机IP地址的ARP表项，(网络协议)将把目标机IP地址对应的MAC地址放到MAC包的目的MAC地址字段直接发送出去；如果在ARP表没有找到目标机IP地址的ARP表项，则向局域网发送广播ARP包(目的MAC地址字段==FF:FF:FF:FF:FF:FF)，目标机将向本地机回复ARP包(包含目标机的MAC地址)

       linux防火墙发展史？

       1.认识防火墙

       ä»Žé€»è¾‘上讲防火墙可以分为主机防火墙和网络防护墙。

       ä¸»æœºé˜²ç«å¢™ï¼šé’ˆå¯¹ä¸ªåˆ«ä¸»æœºå¯¹å‡ºç«™å…¥ç«™çš„数据包进行过滤。（操作对象为个体）

       ç½‘络防火墙：处于网络边缘，针对网络入口进行防护。（操作对象为整体）

       ä»Žç‰©ç†ä¸Šè®²é˜²ç«å¢™å¯ä»¥åˆ†ä¸ºç¡¬ä»¶é˜²ç«å¢™å’Œè½¯ä»¶é˜²ç«å¢™ã€‚

       ç¡¬ä»¶é˜²ç«å¢™ï¼šé€šè¿‡ç¡¬ä»¶å±‚面实现防火墙的功能，性能高，成本高。

       è½¯ä»¶é˜²ç«å¢™ï¼šé€šè¿‡åº”用软件实现防火墙的功能，性能低，成本低。

       2.系统防火墙发展过程

       é˜²ç«å¢™çš„发展史就是从墙到链再到表，也是从简单到复杂的过程。

       é˜²ç«å¢™å·¥å…·å˜åŒ–如下：

       ipfirewall--->ipchains--->iptables-->nftables(正在推广)

       Linux2.0版内核中：包过滤机制为ipfw，管理工具是ipfwadm。

       Linux2.2版内核中：包过滤机制为ipchain，管理工具是ipchains。

       Linux2.4，2.6,3.0+版内核中：包过滤机制为netfilter，管理工具是iptables。

       Linux3.1（3.+）版内核中：包过滤机制为netfilter，中间采取daemon动态管理防火墙，管理工具是firewalld。

       #目前低版本的firewalld通过调用iptables(command)，它可以支持老的iptables规则（在firewalld里面叫做直接规则），

       #同时firewalld兼顾了iptables,ebtables,ip6tables的功能。

       3.iptables和nftables

       nftables

       nftables诞生于年，年底合并到Linux内核，从Linux3.起开始作为iptables的替代品提供给用户。

       å®ƒæ˜¯æ–°çš„数据包分类框架，新的linux防火墙管理程序，旨在替代现存的{ ip,ip6,arp,eb}_tables，它的用户空间管理工具是nft。

       ç”±äºŽiptables的一些缺陷，目前正在慢慢过渡用nftables替换iptables，同时由于这个新的框架的兼容性，

       æ‰€ä»¥nftables也支持在这个框架上运行直接iptables这个用户空间的管理工具。

       nftables实现了一组被称为表达式的指令，可通过在寄存器中储存和加载来交换数据。

       ä¹Ÿå°±æ˜¯è¯´ï¼Œnftables的核心可视为一个虚拟机，nftables的前端工具nft可以利用内核提供的表达式去模拟旧的iptables匹配，

       ç»´æŒå…¼å®¹æ€§çš„同时获得更大的灵活性。

       è€Œæœªæ¥æœ€æ–°çš„firewalld（0.8.0）默认使用将使用nftables。详情可以看www.firewalld.org

       iptables、nftables和firewalld之间的区别与联系

       firewalld同时支持iptables和nftables，未来最新版本(0.8.0)默认将使用nftables。

       ç®€å•çš„说firewalld是基于nftfilter防火墙的用户界面工具。而iptables和nftables是命令行工具。

       firewalld引入区域的概念，可以动态配置，让防火墙配置及使用变得简便。

       å‡†ç¡®çš„说：iptables(command)的最底层是netfilter，它的用户空间管理工具是iptables

       nftables(command)是iptables(command)的一个替代品并兼容iptables(command)，最底层依然是netfilter，它的用户空间管理工具是nft，

       åŒæ—¶æœªæ¥firewalld最新版（0.8.0）也将默认支持nftables(command)。filter网络过滤器来处理

       firewalld会把配置好的防火墙策略交给内核层的nftables包过滤框架来处理

       ä¸‹å›¾ä¸ºiptables、firewalld、nftables之间的关系图：

       4.centos6.X到centos7.X

       centos6.X：防火墙由netfilter和iptables构成。其中iptables用于制定规则，又被称为防火墙的用户态；

       è€Œnetfilter实现防火墙的具体功能，又被称为内核态。简单地讲，iptables制定规则，而netfilter执行规则。

       centos7.X：防火墙在6.X防火墙的基础之上提出了新的防火墙管理工具，提出了区域的概念，通过区域定义网络链接以及安全等级。

       5.怎样学好防火墙的配置？

       1）OSI7层模型以及不同层对应哪些协议必须很熟悉#基础必备

       2）TCP/IP三次握手，四次断开的过程，TCPHEADER，状态转换#基础必备

       3）常用的服务端口要非常清楚了解。#基础必备

       4）常用服务协议的原理，特别是http协议，icmp协议。#基础必备

       5）能够熟练的利用tcpdump和wireshark进行抓包并分析，这样会更好#拓展

       6）对计算机网络有研究，至少基本路由交换要很熟悉#拓展

       6、企业中安全配置原则

       å°½å¯èƒ½ä¸ç»™æœåŠ¡å™¨é…ç½®å¤–网IP，可以通过代理转发或者通过防火墙映射。

       å¹¶å‘不是特别大情况有外网IP，可以开启防火墙服务。

       å¤§å¹¶å‘的情况，不能开iptables，影响性能，利用硬件防火墙提升架构安全。

       Linux的协议栈是什么呢？

       Linux网络协议栈基于分层的设计思想，总共分为四层，从下往上依次是：物理层，链路层，网络层，应用层。Linux网络协议栈其实是源于BSD的协议栈，它向上以及向下的接口以及协议栈本身的软件分层组织的非常好。Linux的协议栈基于分层的设计思想，总共分为四层，从下往上依次是：物理层，链路层，网络层，应用层。物理层主要提供各种连接的物理设备，如各种网卡，串口卡等;链路层主要指的是提供对物理层进行访问的各种接口卡的驱动程序，如网卡驱动等;网路层的作用是负责将网络数据包传输到正确的位置，最重要的网络层协议当然就是IP协议了，其实网络层还有其他的协议如ICMP，ARP，RARP等，只不过不像IP那样被多数人所熟悉;传输层的作用主要是提供端到端，说白一点就是提供应用程序之间的通信，传输层最着名的协议非TCP与UDP协议末属了;应用层，顾名思义，当然就是由应用程序提供的，用来对传输数据进行语义解释的“人机界面”层了，比如HTTP，SMTP，FTP等等，其实应用层还不是人们最终所看到的那一层，最上面的一层应该是“解释层”，负责将数据以各种不同的表项形式最终呈献到人们眼前。Linux网络核心架构Linux的网络架构从上往下可以分为三层，分别是：用户空间的应用层。内核空间的网络协议栈层。物理硬件层。其中最重要最核心的当然是内核空间的协议栈层了。Linux网络协议栈结构Linux的整个网络协议栈都构建与LinuxKernel中，整个栈也是严格按照分层的思想来设计的，整个栈共分为五层，分别是：

       1，系统调用接口层，实质是一个面向用户空间应用程序的接口调用库，向用户空间应用程序提供使用网络服务的接口。

       2，协议无关的接口层，就是SOCKET层，这一层的目的是屏蔽底层的不同协议(更准确的来说主要是TCP与UDP，当然还包括RAWIP，SCTP等)，以便与系统调用层之间的接口可以简单，统一。简单的说，不管我们应用层使用什么协议，都要通过系统调用接口来建立一个SOCKET，这个SOCKET其实是一个巨大的sock结构，它和下面一层的网络协议层联系起来，屏蔽了不同的网络协议的不同，只吧数据部分呈献给应用层(通过系统调用接口来呈献)。

       3，网络协议实现层，毫无疑问，这是整个协议栈的核心。这一层主要实现各种网络协议，最主要的当然是IP，ICMP，ARP，RARP，TCP，UDP等。这一层包含了很多设计的技巧与算法，相当的不错。

       4，与具体设备无关的驱动接口层，这一层的目的主要是为了统一不同的接口卡的驱动程序与网络协议层的接口，它将各种不同的驱动程序的功能统一抽象为几个特殊的动作，如open，close，init等，这一层可以屏蔽底层不同的驱动程序。

       5，驱动程序层，这一层的目的就很简单了，就是建立与硬件的接口层。可以看到，Linux网络协议栈是一个严格分层的结构，其中的每一层都执行相对独立的功能，结构非常清晰。其中的两个“无关”层的设计非常棒，通过这两个“无关”层，其协议栈可以非常轻松的进行扩展。在我们自己的软件设计中，可以吸收这种设计方法。

通过源码理解rarp协议（基于linux1.2.）

       rarp协议用于基于mac地址查询ip，主要在没有ip的主机使用，以下为rarp协议的格式和作用原理。

       rarp与arp协议相似，通过mac地址查询ip地址，操作系统内维护转换表，表项来源于用户通过接口设置，可使用ioctl函数进行增删改查操作，关注新增逻辑，其中arpreq定义用于插入表项（若不存在）。

       rarp_init函数负责底层注册节点，当mac底层接收到ETH_P_RARP类型数据包时，执行rarp_packet_type中定义的rarp_packet_type函数。

       rarp_rcv函数处理接收到的rarp请求，解析数据，根据请求mac地址在表中查找对应ip，若存在，则调用arp_send函数发送回包。

       这是rarp协议早期实现的概述，旨在通过源码理解其工作原理和关键操作。