课程名称：网络程序设计9

在收到后立即调用BPF以及在发送前最后一刻调用BPF的原因 是为了提供准确的时间戳。 虽然在数据链路嵌入一个分组捕获机制并不困难，BPF的强 大功能却在于它的过滤功能。任何一个打开BPF设备的应用程 序都可以装入自己的过滤器，该过滤器就由BPF应用于各个分 组。过滤器可以很简单（udp or tcp：只接收UDP或TCP分 组），也可以很复杂（检查分组头部各个字段是否为特定值）， 例如： tcp and port 80 and tcp[13:1] & 0x7 !=0 该过滤器仅收集来往于端口80的设置了SYN、FIN和RST标志 的TCP分节。表达式tcp[13:1]指自TCP头部开始位置起偏移 量为13个字节的那个字节的值。
课程名称：网络程序设计
主讲教师：胡亮 Email:hul@
第9章 原始套接口和数据链路访问 章
原始套接口提供三种TCP和UDP套接口一般不提供的功能。 使用原始套接口可以读写ICMPv4、IGMPv4及ICMPv6分组。例如，Ping 程序就使用原始套接口发送ICMP回射请求，并接收ICMP回射应答。用于多 播路由的守护进程mrouted同样利用原始套接口来发送和接收IGMPv4分组。 上述功能同样允许使用ICMP或IGMP构造的应用程序完全作为用户进程处理， 而不必再增加过多的内核编码。例如，路由器发现守护进程即以这种方式构 造，它处理内核完全不知道的两个ICMP消息（路由器通告和路由器征求）。 使用原始套接口可以读写特殊的IPv4数据报，内核不处理这些数据报的IPv4 协议字段。大多数内核只处理值为1（ICMP）、2（IGMP）、6（TCP）和 17（UDP）的数据报，但协议字段还可以是其它值，RFC1700列出了所有 值。例如，OSPF路由协议就不使用TCP或UDP，而直接使用IP，它将IP数 据报的协议字段设置为89。因此，由于这些数据报包含内核完全不知道的协 议字段，实现OSPF协议的gated守护程序就必须使用原始套接口来读写数据 报。此项同样适用于IPv6。 利用原始套接口，使用IP_HDRINCL套接口选项可以构造自己的IPv4头部。 用户可以使用这个特性来构造自己的TCP或UDP分组。
DLPI工作过程 工作过程
应用进程 应用进程 进程 内核
Bufmod （缓冲区）
Bufmod（缓冲区） IPv4 IPv6
Pfmod（过滤器）
Pfmod（过滤器）
数据链路
从原理上讲，DLPI和 BPF相类似：pfmod在内 核中使用伪机器实现分组 过滤，bufmod则通过支 持捕获长度和读超时来减 少系统调用次数和拷贝的 数据量。 BPF与pfmod过滤器虽然 都使用伪机器来实现包过 滤，但它们支持的伪机器 类型却存在差别。BPF过 滤器使用有向无环控制流 图（CFG），而pfmod 使用布尔表达式树。前者 自然映射成寄存器型机器 代码，后者自然映射成堆 栈式机器代码。根据过滤 器的复杂程度，CFG实现 方式可比布尔表达式树这 种实现方式快3到20倍。
3 可以对原始套接口调用bind函数，但并不常用。该 函数仅用来设置本地地址，对于一个原始套接口 而言端口没有什么意义。当进行输出的时候， bind设置在原始套接口上所发送的数据报中将用 到的源IP地址（仅当IP_HDRINCL套接口选项未 设置时）；若不调用bind，则由内核将源IP地址 设置成外出接口的主IP地址。 4 在原始套接口上可以调用connect函数，但不常用。 Connect函数仅设置目的地址。对于输出而言， 调用connect函数之后，由于目的地址已经指定， 用户可以调用write或read，而不是sendto了。
2 DLPI：数据链路提供者接口 ：
SVR4通过DLPI来实现数据链路访问。DLPI是 AT&T设计的独立于协议的访问数据链路层所提供 服务的接口，其访问通过发送和接收流消息来实现。 应用进程介入数据链路层只需打开设备（例如 le0）并使用DLPI的DL_ATTACH_REQ请求将它 与DLPI附接就可以了。但是为了提高效率，一般 还需要压入两个流模块：pfmod（在内核中进行分 组过滤）和bufmod（缓冲传递给应用进程的数 据）。
9.1 原始套接口创建
创建一个原始套接口涉及以下几步： 1 调用socket函数创建一个原始套接口，其中第二个参数为 SOCK_RAW。这时，第三个参数一般不应为0。例如，为了创 建一个IPv4原始套接口，可以使用下面语句： int sockfd; sockfd=socket(AF_INET, SOCK_RAW, protocol); 其中protocol参数值为形如IPPROTO_xxx的常值，由 <netinet/in.h>头文件定义，例如IPPROTO_IGMP。这里需 要注意的是头文件中定义的一个协议名，例如IPPROTO_EGP， 并不意味着内核肯定支持它。因此，为了防止普通用户向网络 写自己的IP数据报，只有超级用户才有权创建原始套接口。 2 可以设置IP_HDRINCL套接口选项。
影响原始套接字行为的选项
IP_TTL选项：使用该选项用户可以设置或者获取原始套接字的生存 时间的值。获取生存时间可以使用以下代码实现： int ttl; getsockopt (ip_fd, IPPROTO_IP, IP_TTL, &ttl, sizeof(int)); IP_TOS选项：使用这个选项可以设置或者获取IP数据报头的服务类 型字段。需要注意的是函数getsockopt只能返回发送IP数据报的 TOS域，而不是接收到的IP数据报的TOS域。接收到的IP数据报的 TOS域，可以使用上面代码，通过struct ip类型的指针来获取ip_tos 域。 IP_OPTIONS选项：使用该选项可以设置IP选项。 IP_HDRINCL选项：如果原始套接字上设置了该选项，则IP协议将只 为IP数据报头部作如下工作：IP协议为IP数据报头计算校验和；如果 标识域被填写为0，则IP协议来设置标识域（标识域用于分段时使 用）；如果IP地址被设置为INADDR_ANY，则IP协议将以实际发送 的网络接口的IP地址来填写这个域。设置了IP_HDRINCL选项的原始 套接字上发送的每个数据报必须自己建立IP数据报头部。
9.2 原始套接口输出
原始套接口上的输入和输出函数是内核中最简单的一部分， 原始套接口的输出遵循以下规则： 普通输出通过调用sendto或sendmsg并指定目的IP地址来完 成。如果套接口已经连接，也可以调用write、writev或send。 如果IP_HDRINCL选项未设置，则内核写的数据起始地址指IP 头部之后的第一个字节。因为这种情况下，内核将构造IP头部， 并将它安在来自进程的数据之前。内核将IPv4头部的协议字段 IPv4 设置成用户在调用socket函数时所给的第三个参数。 如果IP_HDRINCL选项已经设置，则内核写的数据起始地址指 IP头部的第一个字节。用户所提供的数据大小值必须包括头部 的字节数。此时进程构造除了以下两项以外的整个IP头部： IPv4标识字段可以设置为0，要求内核设置该值；IPv4头部的 校验和由内核来计算和存储。 对于超出外出接口MTU的分组，内核将其分片。
9.4 数据链路访问
通过原始套接口用户可以读写内核不能识别的IP数据报。而通过数据链路层访 问，用户可以把这种能力扩展到读写任意类型的数据链路帧，而不只是IP数据 报。Tcpdump是直接访问数据链路层的典型例子。 不同的操作系统的数据链路层的访问方式是不同的。但目前大多数操作系统都 为应用程序提供了访问数据链路层的手段，它使得应用程序具有如下功能： 监视数据链路层上所收到的分组，这使得用户可以在普通计算机系统上通过 像tcpdump这样的程序来监视网络，而不需使用特殊的硬件设备。如果结合 使用网络接口的混杂模式（promiscuous mode），用户甚至可以监听本地 电缆上的所有分组，而不只是以应用程序所在主机为目的地的分组。 作为普通应用进程而不是内核的一部分运行某些程序。例如，大多数Unix系 统的RARP服务器是普通的应用进程，它们从数据链路读取RARP请求 （RARP请求不是IP数据报），并把应答写回数据链路。 Unix上三种最常用的数据链路层访问方法是BSD的BSD分组过滤器（BPF）、 SVR4的数据链路提供者接口（DLPI）和Linux的SOCK_PACKET接口。
9.3 原始套接口输入
对于原始套接口的输入，主要是选择哪些分组传递给原始套接口， 它将遵循如下的规则： 接收到的TCP分组和UDP分组决不会传递给任何原始套接口，如果一 个进程希望读取包含TCP或UDP分组的IP数据报，那么它们必须在数 据链路层读入。 当内核处理完ICMP报文之后，绝大多数ICMP分组将传递给原始套接 口。对于源自Berkeley的实现，除了回射请求、时间戳请求和地址掩 码请求将完全由内核处理以外，所有收到的ICMP分组都将传递给某 个原始套接口。 当内核处理完IGMP消息之后，所有IGMP分组都将传递到某个原始套 接口。 所有带有内核不能识别的协议字段的IP数据报都将传递给某个原始套 接口。内核对于这些分组唯一做的就是检验IP头部中某些字段：IP版 本、IPv4头部校验和、头部长度以及目的IP地址。 如果数据报以片段形式到达，则该分组将在所有片段到达并重组后才 传给原始套接口。
BPF实现技术
BPF实现一个基于寄存器的过滤器机，该机器对每个收到的分组应用一个 特定于应用进程的过滤器。用户可以使用这个伪机器的机器语言编写自己的过 滤器程序。为了减少开销，BPF使用以下三种技术： BPF过滤由内核完成，以减少从BPF拷贝到应用进程的数据量。从系统空间到 用户空间的拷贝是昂贵的，如果每个分组都这样拷贝，那么BPF将不能适应快 速的数据链路。 每个分组只有部分数据由BPF传递给应用进程，这被称为捕获长度（capture lebgth）。大多数应用进程只需要分组头部，而不需要分组数据。这同样也 减少了内核到用户空间的数据拷贝量。例如，tcpdump将该缺省值设为68， 允许一个14字节的以太网头部、一个20字节的IP头部、一个20字节的TCP头 部以及14字节数据。当然，如果需要获取其它协议（例如NFS）的更多信息， 那么用户在运行tcpdump时应增加该值。 BPF缓冲传递给应用进程的数据。该缓冲区只有在已满或读超时（read timeout）发生时才拷贝给应用程序，超时值可以由应用程序指定。例如 tcpdump将超时值设置为1000ms，而RARP守护进程将它设置为0（RARP 分组很少，而且RARP服务器一接收请求就得发送响应）。缓冲的目的在于减 少系统调用的次数。BPF和应用进程之间拷贝的分组数量仍然相同，但每个系 统调用都需要一定的开销，减少系统调用则可以减少开销。