PF_KEY接口在OpenBSD内核中的实现

　　PF_KEY协议是IPSec的重要组成部分。密钥管理进程利用PF_KEY与内核的SADB进行通信，实现SA（Security Association，安全联盟）和SP（Security Policy，安全策略）的管理。本文将从PF_KEY协议构造和PF_KEY相关系统调用等方面描述OpenBSD内核中的PF_KEY实现。
　　
　　利用IPSec技术可在IP层实现对数据包进行保护，降低了互联网通信的风险。IPsec的安全服务是由通信双方建立的安全联盟（SA）来提供的。IPsec系统在处理输入/输出IP 流时必须参考安全策略库(SPD)，并根据从SPD中提取的策略对IP流进行不同的处理，例如拒绝、绕过和进行IPsec保护。SA和SPD的管理是利用PF_key API来实现用户进程和内核之间的通信，可以通过手工进行，也可以通过IKE来进行动态协商。
　　
　　PF_KEY是用户进程操作内核中的SADB（Security Associations Database）和SPD的编程接口。下面将从协议族构造、系统调用和PF_KEY socket实现三部分加以描述。
　　
　　协议族构造
　　
　　Net/3组把协议关联到一个域中，并且用一个协议族常量来标识每个域。在OpenBSD定义的域包含以下的四个，分别是路由协议族、IP协议族、Unix协议族和PF_KEY协议族。同时定义了全局指针型变量domains，由它将协议族结构链接在一起。
　　
　　初始化完成后，内核构建了图1所示的数据结构。pfkey_domain定义的协议族为PF_KEY，Socket地址为PF_KEY。
　　
　　在PF_KEY协议初始化过程中，系统还定义了指针数组，用于指向含有Socket操作函数的不同版本pfkey_version结构。pfkey_version结构定义在sys/net/pfkeyv2.h文件中。
　　
　　　javascript:window.open(this.src);" style="CURSOR: pointer" onload="return imgzoom(this,550)">"
　　
　　图1 初始化后的domain链表和protosw数组
　　
　　目前OpenBSD实现的PF_KEY版本是2.0，该指针数组结构定义如下：
　　
　　struct pfkey_version
　　{　 int protocol;　　
　　　　　　　int (*create)(struct socket socket);　
　　　　　　　int (*release)(struct socket *socket);
　　　　　　　int (*send)(struct socket *socket, void *message, int len);
　　} = { PFKEYV2_PROTOCOL,　&pfkeyv2_create, &pfkeyv2_release, &pfkeyv2_send };
　　
　　PF_KEY socket实现
　　
　　PF_KEY socket系统调用
　　
　　当一个应用调用Socket时，进程用系统调用机制将三个独立的整数传给内核。syscall将参数复制到32bit值的数组中，并将数组指针作为第二个参数传给Socket的内核版。内核版的Socket将第二个参数“uap”作为指向sys_socket_args结构的指针。图2显示了上述过程。
　　
　　　"
　　
　　图2 用户空间Socket参数到内核空间转换图
　　
　　当进程调用socket(PF_KEY,SOCK_RAW, PF_KEY_V2)时，内核sys_socket（）向PF_KEY协议中pfkey_protosw（见图1）定义的pfkey_usrreq（）发送PRU_ATTACH，调用如下：
　　
　　error=(*prp->pr_usrreq)(so，PRU_ATTACH，NULL，(struct mbuf *)(long)proto，NULL)；
　　
　　Pfkey_usrreq（）处理PRU_ATTACH请求，创建协议控制块。
　　
　　PF_KEY close（）系统调用
　　
　　内核中sys_close（）对应用户空间的close（）系统调用，用来关闭各类描述符。当fd是引用对象的最后描述符时，与对象有关的close函数被调用如下：
　　
　　error=(*fp->f_ops->fo_close)(fp, p)；
　　
　　Socket的fp->f_ops->fo_close是soo_close（）函数。soo_close（）是soclose（）函数的封装器。soclose（）取消Socket上相关连接并释放不需要的数据结构，发送PRU_DETACH请求断开Socket与PF_KEY协议的联系，最后调用sofree（）释放PF_KEY socket。
　　
　　error2=(*so->so_proto->pr_usrreq)(so, PRU_DETACH, NULL,NULL, NULL);
　　
　　Pfkey_usrreq（）响应soclose（）的PRU_DETACH请求，释放该Socket协议控制块，并将该Socket从pfkeyv2_sockets链表中删除。
　　
　　PF_KEY 读写系统调用
　　
　　所有的写系统调用都要直接或间接地调用sosend。sosend的功能是将进程来的数据复制到内核，并将数据传递给与插口相关的协议，如下：
　　
　　error=(*so->so_proto->pr_usrreq)(so, PRU_SEND, top, addr, control);
　　
　　对于PF_KEY的Socket，pfkey_usrreq（）间接调用pfkey_output（），pfkey_output（）直接调用pfkeyv2_send（）。
　　
　　所有处理用户消息的工作全部在pfkeyv2_send（）内完成，包括SA的增加、删除、清空和请求操作等。pfkeyv2_send（）通过pfkeyv2_sendup（）将结果放入Socket的接收缓冲区中，并通知用户进程接收缓存已改变。
　　
　　同写调用一样，用户空间的读调用如read和recv等，都是由内核中的一个公共函数soreceive（）来完成所有的工作。sorecevice（）函数将数据从Socket的接口缓存传送到进程指定的缓存中。
　　
　　sorecevice是一个复杂的函数，导致其复杂的主要原因是繁琐的指针操作及对多种类型的数据（带外数据、地址、控制信息和正常数据）和多目标（进程缓存和mbuf链）的处理。
　　
　　最后在这里列出PF_KEY的接口实现的相关系统调用图，见图3。
　　
　　 "
　　
　　图3 PF_KEY内核调用图
　　
　　结束语
　　
　　本文主要描述了PF_KEY接口在OpenBSD内核中的实现。通过该接口，可以实现IPSec的SA和SP的自动和手工配置管理。作为IPSec的重要组成部分，SADB和SPD与PF_KEY有着紧密的联系，但本文中没有具体描述。想要深入了解的IPSec的整体实现，阅读源码是比较有效的方法之一。

原文转自：http://www.ltesting.net