4357人阅读
linux技术（77）
/schkui/default.html?page=4
SkyEye是一个可以运行嵌入式操作系统的硬件仿真工具，这样就可以在没有硬件条件下来进行嵌入式系统的开发。
以下操作均在Fedora Core 1.0里通过。
Skyeye项目资源列表
文档摘要：
1、什么是SkyEye？
2、SkyEye可以做什么事情？
3、安装SkyEye
4、安装arm-elf交叉编译器
5、测试你的arm-elf-gcc编译器
6、执行你的hello程序
7、一个应用程序的开发实例
8、编译并运行uClinux-dist-.tar.gz
9、加入网络功能
10、安装完成SkyEye后，下一步将做什么？
1、什么是SkyEye？
SkyEye是开源软件的一个项目，SkyEye的目标是在Linux和Windows操作系统里提供一个完全的仿真环境。SkyEye仿真环境相当于一个嵌入式计
算机系统，你可以在SkyEye里运行一些嵌入式Linux操作系统，如ARMLinux，uClinux，uc/OS-II(ucos-ii)等，并能分析和调试它们的源代码。
如果你想知道关于SkyEye和嵌入式系统更详细的信息，请访问下面的站点：
通过SkyEye能仿真下面的硬件：
CPU核心：ARM7TDMI, ARM720T, ARM9, StrongARM, XScale
CPU: Atmel AT91/X40, Cirrus CIRRUS LOGIC EP7312, Intel SA1100/SA1110, Intel XScale PXA 250/255, CS89712, samsung 4510B,
samsung 44B0(还不全)
内存: RAM, ROM, Flash
周边设备: Timer, UART, ne2k网络芯片, LCD, 触摸屏等
目前能在SkyEye上运行下面的操作系统和系统软件：
uC/OSII-2.5.x(支持网络)
uClinux(基于Linux2.4.x内核, 支持网络)
ARM Linux 2.4.x/2.6.x
lwIP on uC/OSII
基于uC/OSII, uClinux, ARM Linux的应用程序
2.SkyEye可以做什么事情？
1. 通过SkyEye可以帮助促进嵌入式系统的学习，在不需要额外硬件的情况下学习和分析uclinux操作系统和其它嵌入式操作系统，如ucosII等
2. SkyEye可用于嵌入式系统的教学。
3. 希望通过skyeye促进操作系统的研究，如ucosII，uclinux+RTAI，uclinux2.5.x等。
4. 可以基于SkyEye进行仿真特定硬件模块的研究。
5. SkyEye可以作为嵌入式集成开发环境开发嵌入式系统（当然需要对SkyEye做大量的工作）。
注：引自陈渝《SkyEye Project FAQ》
3、安装SkyEye
到下载skyeye-0.7.0.tar.bz2包：
tar jxvf skyeye-v0.7.0.tar.bz2
进入解压后的skyeye目录，如果SkyEye的版本低于0.6.0,则运行下面的命令：
./configure --target=arm-elf --prefix=/usr/local --without-gtk-prefix --without-gtk-exec-prefix --disable-gtktest
如果SkyEye的版本高于0.6.0,则运行下面的命令：
./configure --target=arm-elf --prefix=/usr/local
接下来执行：
make install
安装完成后执行skyeye
a.如果你使用的是Mandrake Linux发行版,那么你在编译SkyEye时遇到错误，并且错误与readline, ncurse, termcap等有关，你可以试试下面
ln -s /usr/include/ncurses/termcap.h /usr/local/include/termcap.h
接着再make和make install看能否成功！
b.如果你的Linux发行版是Debian Linux,那么不要使用gcc 2.95或是gcc 3.0，请使用gcc 3.2+
c.gcc的版本要在2.96或以上
d.如果SkyEye的版本大于0.6.0,那么使用LCD仿真需要在Linux系统里安装GTK软件。
4、安装arm-elf交叉编译器
下载arm-elf-tools-.sh
chmod a+x arm-elf-tools-.sh
./arm-elf-tools-.sh
ls /usr/local/bin/
你应能看到以arm-elf开头的可执行文件，其中arm-elf-gcc就是用来编译你目标平台的编译器的，当然还有一些小工具，后面将一一讲来。
5、测试你的arm-elf-gcc编译器
先写一个小程序hello.c
#include &stdio.h&
int main(void)
&&&&int i;
&&&&for(i =
i++){
&&&&&&&&printf(&i = %d&&&,i);
&&&&&&&&printf(&Hello, embedded linux!\n&);
&&&&return 0;
然后执行：
arm-elf-gcc -Wl,-elf2flt -o hello hello.c
-elf2flt参数是将elf文件格式转为flat文件格式，这个工具是在你安装交叉编译器产生的。
或者你可以写个Makefile文件，执行：
这里是我的Makefile文件，仅供参考：
arm-elf-gcc
CFLAGS = -D__PIC__
-msingle-pic-base
-pipe -Wall
LDFLAGS = -Wl,-elf2flt
all:&&&&hello
hello:&&$(OBJS)
&&&&&&&&$(CC) $(CFLAGS) $(LDFLAGS) -o
hello $(OBJS) $(LIBS)
&&&&&&&&rm -rf
*.elf *.gdb hello
如果编译通过，就会产生hello可执行文件。用下面的命令：
file hello
你会发现，它是BFLT(binary FLAT)，你目标平台所支持的文件格式。
6、执行你的hello程序
这里，我们将借助genromfs这个小工具来完成测试，这个工具就是你在安装交叉编译器时产生的，你可以直接使用它。
tar jxvf skyeye-binary-testutils-1.0.4.tar.bz2
cd testsuits/at91/uclinux2(当然你还可以用别的)
mkdir romfs(建一个目录，后面用)
mount -o loop boot.rom /mnt/xxx
cp -r /mnt/xxx/* romfs
另外，把你编译好的可执行程序拷贝到/romfs/bin目录里，这里就是hello了！
genromfs -f boot.rom -d romfs/
注：可以用genromfs -h来获得帮助！
OK！执行下面的命令：
skyeye linux
(skyeye)target sim
(skyeye)load
(skyeye)run
kernel start.....
很熟悉了吧。。。
可以看到结果了吗？
其实到了这一步，你就可以开发自己的程序了！
7、一个应用程序的开发实例
下面介绍的程序主要是完成一个网络应用，网络应用的标准模型是客户机-服务器模型，它的主要执行过程如下:
(1)系统启动服务器执行。服务器完成一些初始化操作，然后进入睡眠状态，等待客户机请求;
(2)在网络的某台机器上，用户执行客户机程序;
(3)客户机进程与服务器进程建立一条连接;
(4)连接建立之后，客户机通过网络向服务器发出请求，请求某种服务;
(5)服务器接收到客户机请求后，根据客户机请求的内容进行相应的处理，然后将处理结果返回;
(6)服务器断开与客户机的连接，继续睡眠，等待其他客户机的请求;
Linux系统中的很多服务器是在系统初启时启动的，如时间服务器、打印服务器、文件传输服务器和电子邮件服务器等。大多数时间这些服务器
进程处于睡眠状态，等待客户机的请求。
下面这两个客户机-服务器程序比较简单，主要是对网络客户机-服务器模型的实际运行有大致印象。这个客户机-服务器的操作过程非常简单：
客户机与服务器建立连接之后，服务器向客户机返回一条消息。
服务器程序的源代码如下：
/* tcpserver.c */
#include &stdlib.h&
#include &stdio.h&
#include &errno.h&
#include &string.h&
#include &netdb.h&
#include &sys/types.h&
#include &netinet/in.h&
#include &sys/socket.h&
#define WAITBUF 10
int main(int argc,
char *argv[])
&&&&int sockfd,
&&&&struct sockaddr_in server_addr;
&&&&struct sockaddr_in client_addr;
&&&&unsigned int sin_size,
portnumber;
&&&&char hello[]=&Hello! Socket communication world!\n&;
&&&&if(argc !=
&&&&&&&&fprintf(stderr,
&Usage:%s portnumber\a\n&,
&&&&&&&&exit(1);
&&&&if((portnumber =
atoi(argv[1])) &
&&&&&&&&fprintf(stderr,
&Usage: %s portnumber error\a\n&,
&&&&if((sockfd =
socket(AF_INET,
SOCK_STREAM,
0)) == -1)
&&&&&&&&fprintf(stderr,
&Socket error:%s\n\a&,
strerror(errno));
&&&&&&&&exit(1);
&&&&bzero(&server_addr,
sizeof(struct sockaddr_in));
&&&&server_addr.sin_family
= AF_INET;
&&&&server_addr.sin_addr.s_addr
= htonl(INADDR_ANY);
&&&&server_addr.sin_port
= portnumber;
&&&&if(bind(sockfd,(struct sockaddr
*)(&server_addr),
sizeof(struct sockaddr)) == -1)
&&&&&&&&fprintf(stderr,
&Bind error:%s\n\a&,
strerror(errno));
&&&&&&&&exit(1);
&&&&if(listen(sockfd,
WAITBUF) == -1)
&&&&&&&&fprintf(stderr,
&Listen error:%s\n\a&,
strerror(errno));
&&&&&&&&exit(1);
&&&&while(1)
&&&&&&&&sin_size =
sizeof(struct sockaddr_in);
&&&&&&&&if((new_fd =
accept(sockfd, (struct sockaddr
*)(&client_addr), &sin_size)) == -1)
&&&&&&&&&&&&fprintf(
&Accept error:%s\n\a&,
strerror(errno));
&&&&&&&&&&&&exit(1);
&&&&&&&&fprintf(stderr,
&Server get connection from %s\n&,
inet_ntoa(client_addr.sin_addr));
&&&&&&&&if(send(new_fd,
strlen(hello),
&&&&&&&&&&&&fprintf(stderr,
&Write Error:%s\n&,
strerror(errno));
&&&&&&&&&&&&exit(1);
&&&&&&&&close(new_fd);
&&&&close(sockfd);
&&&&exit(0);
给服务器程序写一个Makefile文件，如下：
arm-elf-gcc
CFLAGS = -D__PIC__
-msingle-pic-base
-pipe -Wall
LDFLAGS = -Wl,-elf2flt
tcpserver.o
all:&&&&tcpserver
tcpser:&&$(OBJS)
&&&&$(CC) $(CFLAGS) $(LDFLAGS) -o
tcpserver $(OBJS) $(LIBS)
&&&&rm -rf
*.elf *.gdb hello
客户机程序的源代码如下：
/* tcpclient.c */
#include &stdlib.h&
#include &stdio.h&
#include &errno.h&
#include &string.h&
#include &netdb.h&
#include &sys/types.h&
#include &netinet/in.h&
#include &sys/socket.h&
#define RECVBUFSIZE 1024
int main(int argc,
char *argv[])
&&&&int sockfd;
&&&&char buffer[RECVBUFSIZE];
&&&&struct sockaddr_in server_addr;
&&&&int portnumber,
&&&&if(argc !=
&&&&&&&&fprintf(stderr,
&Usage:%s hostname portnumber\a\n&,
&&&&&&&&exit(1);
&&&&if((portnumber=atoi(argv[2]))
&&&&&&&&fprintf(stderr,&Usage:%s hostname portnumber\a\n&,
&&&&&&&&exit(1);
&&&&if((sockfd =
socket(AF_INET,
SOCK_STREAM,
0)) == -1)
&&&&&&&&fprintf(stderr,
&Socket Error:%s\a\n&,
strerror(errno));
&&&&&&&&exit(1);
&&&&bzero(&server_addr,
sizeof(server_addr));
&&&&server_addr.sin_family
= AF_INET;
&&&&server_addr.sin_port
= portnumber;
&&&&server_addr.sin_addr.s_addr
= inet_addr(argv[1]);
&&&&if(connect(sockfd, (struct sockaddr
*)(&server_addr),
sizeof(struct sockaddr)) == -1)
&&&&&&&&fprintf(stderr,
&Connect Error:%s\a\n&,
strerror(errno));
&&&&&&&&exit(1);
&&&&if((nbytes =
recv(sockfd,
RECVBUFSIZE,
0)) == -1)
&&&&&&&&fprintf(stderr,
&Read Error:%s\n&,
strerror(errno));
&&&&&&&&exit(1);
&&&&buffer[nbytes]='\0';
&&&&printf(&I have received:%s\n&,
&&&&close(sockfd);
&&&&exit(0);
最后，skyeye-binary-testutils-1.1.0.tar.bz2/at91x40/uclinux1包里提取boot.rom，用步聚6中的方法，把tcpserver程序放在boot.rom的
在目标板上运行tcpserver 2000
在主机上运行./tcpclient 10.0.0.2 2000
程序的源码的注释因篇幅不在这给出，大家可以参考一些Linux网络编程的书籍，我也会在我的主页上更新一些资料，有需要的朋友可以去下载
8、编译并运行uClinux-dist-.tar.gz
uClinux-dist-.tar.gz
假设把它下载到/usr/src/目录下，然后依次执行下面的命令：
tar zxvf uClinux-dist-.tar.gz
cd uClinux-dist/
在图形方式下可用命令make xconfig
在命令行方式下用命令make menuconfig
vendor/product中选择GDB/ARMulator
kernel版本选择2.4
然后save and exit
运行下面这两条命：
此时在/usr/src/uClinux-dist/linux-2.4.x目录下会生成可执行文件linux
在/usr/src/uClinux-dist/images/会生成romfs.img等文件
在uClinux-dist目录下建立仿真AT91的skyeye配置文件skyeye.conf,内容如下：
cpu: arm7tdmi
mach: at91
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=M, type=R, addr=0x, size=0x, file=images/romfs.img
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=I, type=RW, addr=0xf0000000, size=0x
这个时候就可以用skyeye来调试运行kernel了，在/usr/src/uClinux-dist执行如下命令：
skyeye linux-2.4.x/linux
(skyeye)target sim
(skyeye)load
(skyeye)run
kernel start.....
要在skyeye.conf所在目录下执行skyeye linux-2.4.x/linux
9、加入网络功能
a.用root用户进行操作。
b.你要看你的/lib/modules/'uname -r'/kernel/drivers/net/目录里有没有tun.o
如果没有的话你就需要编译你的linux内核来获得tun.o了。
c.(1)运行tun设备模块：
#insmod /lib/modules/'uname -r'/kernel/drivers/net/tun.o
如果你没有该设备，那你就要用下面的命令来创建它：
#mkdir /dev/net
#mknod /dev/net/tun c 10 200
(2)运行vnet(虚拟集线器)设备模块(这一步不是必需的)：
获取vnet的源码，然后创建设备：
#mknod /dev/net/vnet c 10 201
#chmod 666 /dev/net/vnet
创建vnet.o
#make vnet.o
插入模块vnet.o
#insmod vnet.o
进入test目录，用test来测度vnet.o
#./testvnet1
d.配置skyeye.conf文件
cpu: arm7tdmi
mach: at91
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=M, type=R, addr=0x, size=0x, file=images/romfs.img
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=M, type=RW, addr=0x, size=0x
mem_bank: map=I, type=RW, addr=0xf0000000, size=0x
# format: state=on/off mac=xx:xx:xx:xx:xx:xx ethmod=tuntap/vnet hostip=dd.dd.dd.dd
net: state=on, mac=0:4:3:2:1:f, ethmod=tun, hostip=10.0.0.1
下面将对上面的一些参数作下说明：
state=on/off意思是仿真的NIC(网络接口板)是有线的还是无线的；
mac=仿真适配器的MAC地址；
ethmod=tuntap/vnet在主机环境里使用的虚拟设备；
hostip=意思是主机环境与keyeye交互用的IP
格式: state=on/off mac=xx:xx:xx:xx:xx:xx ethmod=tuntap/vnet hostip=dd.dd.dd.dd
For example:
#set nic info state=on/off mac=xx:xx:xx:xx:xx:xx ethmod=tuntap/vnet hostip=dd.dd.dd.dd
net: state=on, mac=0:4:3:2:1:f, ethmod=tun, hostip=10.0.0.1
net: state=on, mac=0:4:3:2:1:f, ethmod=vnet, hostip=10.0.0.1
如果你想在同一时刻运行两个或更多的skyeye,那么请为每一个skyeye使用不同的skyeye.conf
e.运行skyeye linux-2.4.x/linux
10、安装完成SkyEye后，下一步将做什么？
1、对于嵌入式操作系统的初学者和入门者和入门的学生而言，他们可以先看一些有关操作系统和嵌入式操作系统方面的教材和书籍，如与
uC/OS、Minix、uClinux、Linux相关的书籍等。然后可以在Skyeye上开发一些简单的应用程序例子(如进程间通信、进程优先级、死锁情况、网
络应用等)，对某些操作系统功能(如进程调度、内存管理、网络子系统、文件子系统等)进行简单的修改和扩展，并通过Skyeye进行运行和调试
，看看会发生什么情况。
2、对于有一定经验的软件工程师而言，在SkyEye上完成一定的应用系统原型开发是值得一做的事情。比如移植或开发一个文件子系统或网络子
系统到一个特定的操作系统中，相信比在一个真实的开发板上开发要容易一些。在Skyeye上进行一些操作系统的移植和开发(如移植RTLinux、
RTAI等其它操作系统到Skyeye上)也是很有挑战性的工作。
3、对于硬件工程师而言，对Skyeye进行扩充，设计新的硬件仿真(如USB、IDE硬盘等)使得Skyeye的硬件仿真功能更加强大，支持更多功能的软
件，是很有意义的事情。
SkyEye项目站点里的一篇中文文档；
陈渝《SkyEye Project FAQ》；
skyeye-0.7.0中的README文档。
为了让大家能快速上手，进行实际的开发工作，我赶凑了一篇文档，很粗糙。但我坚信随着更多的有经验的人的加入；随着我们自己水平的提
高，一定会出现更多、更好的文章来。就让我们快点行动起来吧！
最后，我再次建议大家看一下《嵌入式Linux技术与应用》这本书。
可以到或是
下载文档，可以获得更多有关skyeye和嵌入式Linux开发的知识和经验。
远程调试环境由宿主机GDB和目标机调试stub共同构成，两者通过串口或TCP连接。使用GDB标准远程串行协议协同工作，实现对目标机上的系统内核和上层应用的监控和调试功能。调试stub是嵌入式系统中的一段代码，作为宿主机GDB和目标机调试程序间的一个媒介而存在。
&&&&&&&&&就目前而言，嵌入式Linux系统中，主要有三种远程调试方法，分别适用于不同场合的调试工作：用ROMMonitor调试目标机程序、用KGDB调试系统内核和用gdbserver调试用户空间程序。这三种调试方法的区别主要在于，目标机远程调试stub的存在形式的不同，而其设计思路和实现方法则是大致相同的。
而我们最常用的是调试应用程序。就是采用gdb+gdbserver的方式进行调试。在很多情况下，用户需要对一个应用程序进行反复调试，特别是复杂的程序。采用GDB方法调试，由于嵌入式系统资源有限性，一般不能直接在目标系统上进行调试，通常采用gdb+gdbserver的方式进行调试。Gdbserver在目标系统中运行，gdb则在宿主机上运行。
要进行GDB调试，目标系统必须包括gdbserver程序，宿主机也必须安装gdb程序。一般linux发行版中都有一个可以运行的gdb，但开发人员不能直接使用该发行版中的gdb来做远程调试，而要获取gdb的源代码包，针对arm平台作一个简单配置，重新编译得到相应gdb。gdb的源代码包可以从http://ftp.cs.pu.edu.tw/Linux/sourceware/gdb/releases/下载，最新版本为gdb-6.4。下载到某个目录，笔者下载到自己的用户目录：/home/vicky。
下载完后，进入/home/vicky目录，配置编译步骤如下：
#tar jxvf gdb-6.4-tar-bz2
#cd gdb-6.4
#./configure --target=arm-linux --prefix=/usr/local/arm-gdb -v
(这一步的时候可能会有问题，提示一个函数中（具体函数名不记得了）parse error，就是unsigned前边多了一个”}”,你用vi进入那一行把它删掉就行了。)
#make install
#export PATH=$PATH:/usr/local/arm-gdb
进入gdbserver目录：
#./configure --target=arm-linux –host=arm-linux
#make CC=/usr/local/arm/2.95.3/bin/arm-linux-gcc
(这一步要指定arm-linux-gcc的位置，可能跟你的不一样)
没有错误的话就在gdbserver目录下生成gdbserver可执行文件，把它烧写到flash的根文件系统分区，或通过nfs mount的方式都可以。只要保证gdbserver能在开发板上运行就行。
下面就可以用gdb+gdbserver调试我们开发板上的程序了。在目标板上运行gdbserver，其实就是在宿主机的minicom下，我的redhat linux装在vmware下的。我是在minicom下#mount 192.168.2.100:/ /tmp后做的(这里参数-onolock可以不加，不加这一步执行得反而更快些)，hello和gdbserver都是位于linux根目录下，把主机根目录挂在到开发板的/tmp目录下。
要进行gdb调试，首先要在目标系统上启动gdbserver服务。在gdbserver所在目录下输入命令：
(minicom下)
#./gdbserver 192.168.2.100:2345 hello
192.168.2.100为宿主机IP，在目标系统的2345端口开启了一个调试进程，hello为要调试的程序。
出现提示：
Process /tmp/hello created: pid=80
Listening on port 2345
(另一个终端下)
#export PATH=$PATH:/usr/local/arm-gdb/bin
#arm-linux-gdb hello
(gdb) target remote 192.168.2.223:2345
（192.168.2.223为开发板IP）
出现提示：
Remote debugging using 192.168.2.223:2345
[New thread 80]
[Switching to thread 80]
0x40002a90 in ??()
同时在minicom下提示：
Remote debugging from host 192.168.2.100
连接成功，这时候就可以输入各种gdb命令如list、run、next、step、break等进行程序调试了。
&&&&&&&& 以上针对通过nfs mount和tftp的方式，只能在主机上调试好后下载到开发板上运行，如果有错误要反复这个过程，繁琐不说，有些程序只能在开发板上调试。所以笔者采用了gdbserver的远程调试方式。希望对大家调试程序有用！
作者：晏渭川
随着Linux2.6的发布，由于2.6内核做了教的改动，各个设备的驱动程序在不同程度上要
进行改写。为了方便各位Linux爱好者我把自己整理的这分文档share出来。该文当列举
了2.6内核同以前版本的绝大多数变化，可惜的是由于时间和精力有限没有详细列出各个
函数的用法。
特别声明：该文档中的内容来自http://lwn.net，该网也上也有各个函数的较为详细的
说明可供各位参考。如果需要该文档的word版的朋友， 请mail到索
1、 使用新的入口
必须包含 &linux/init.h&
module_init(your_init_func);
module_exit(your_exit_func);
老版本：int init_module(void);
void cleanup_module(voi);
2.4中两种都可以用，对如后面的入口函数不必要显示包含任何头文件。
MODULE_LICENSE(&Dual BSD/GPL&);
老版本：MODULE_LICENSE(&GPL&);
3、 模块参数
必须显式包含&linux/moduleparam.h&
module_param(name, type, perm);
module_param_named(name, value, type, perm);
module_param_string(name, string, len, perm);
module_param_array(name, type, num, perm);
老版本：MODULE_PARM(variable,type);
MODULE_PARM_DESC(variable,type);
4、 模块别名
MODULE_ALIAS(&alias-name&);
这是新增的，在老版本中需在/etc/modules.conf配置，现在在代码中就可以实现。
5、 模块计数
int try_module_get(&module);
module_put();
老版本：MOD_INC_USE_COUNT 和 MOD_DEC_USE_COUNT
6、 符号导出
只有显示的导出符号才能被其他模块使用，默认不导出所有的符号，不必使用EXPORT_NO
老板本：默认导出所有的符号，除非使用EXPORT_NO_SYMBOLS
7、 内核版本检查
需要在多个文件中包含&linux/module.h&时，不必定义__NO_VERSION__
老版本：在多个文件中包含&linux/module.h&时，除在主文件外的其他文件中必须定义_
_NO_VERSION__，防止版本重复定义。
8、 设备号
kdev_t被废除不可用，新的dev_t拓展到了32位，12位主设备号，20位次设备号。
unsigned int iminor(struct inode *inode);
unsigned int imajor(struct inode *inode);
老版本：8位主设备号，8位次设备号
int MAJOR(kdev_t dev);
int MINOR(kdev_t dev);
9、 内存分配头文件变更
所有的内存分配函数包含在头文件&linux/slab.h&，而原来的&linux/malloc.h&不存在
老版本：内存分配函数包含在头文件&linux/malloc.h&
10、 结构体的初试化
gcc开始采用ANSI C的struct结构体的初始化形式：
static struct some_structure = {
.field1 = value,
.field2 = value,
老版本：非标准的初试化形式
static struct some_structure = {
field1: value,
field2: value,
11、 用户模式帮助器
int call_usermodehelper(char *path, char **argv, char **envp,
int wait);
新增wait参数
12、 request_module()
request_module(&foo-device-%d&, number);
char module_name[32];
printf(module_name, &foo-device-%d&, number);
request_module(module_name);
13、 dev_t引发的字符设备的变化
1、取主次设备号为
unsigned iminor(struct inode *inode);
unsigned imajor(struct inode *inode);
2、老的register_chrdev()用法没变，保持向后兼容，但不能访问设备号大于256的设备
3、新的接口为
a)注册字符设备范围
int register_chrdev_region(dev_t from, unsigned count, char *name);
b)动态申请主设备号
int alloc_chrdev_region(dev_t *dev, unsigned baseminor, unsigned count, char
看了这两个函数郁闷吧^_^！怎么和file_operations结构联系起来啊？别急！
c)包含 &linux/cdev.h&，利用struct cdev和file_operations连接
struct cdev *cdev_alloc(void);
void cdev_init(struct cdev *cdev, struct file_operations *fops);
int cdev_add(struct cdev *cdev, dev_t dev, unsigned count);
（分别为，申请cdev结构，和fops连接，将设备加入到系统中！好复杂啊！）
d)void cdev_del(struct cdev *cdev);
只有在cdev_add执行成功才可运行。
e)辅助函数
kobject_put(&cdev-&kobj);
struct kobject *cdev_get(struct cdev *cdev);
void cdev_put(struct cdev *cdev);
这一部分变化和新增的/sys/dev有一定的关联。
14、 新增对/proc的访问操作
&linux/seq_file.h&
以前的/proc中只能得到string, seq_file操作能得到如long等多种数据。
相关函数：
static struct seq_operations 必须实现这个类似file_operations得数据中得各个成
seq_printf()；
int seq_putc(struct seq_file *m, char c);
int seq_puts(struct seq_file *m, const char *s);
int seq_escape(struct seq_file *m, const char *s, const char *esc);
int seq_path(struct seq_file *m, struct vfsmount *mnt,
struct dentry *dentry, char *esc);
seq_open(file, &ct_seq_ops);
15、 底层内存分配
1、&linux/malloc.h&头文件改为&linux/slab.h&
2、分配标志GFP_BUFFER被取消，取而代之的是GFP_NOIO 和 GFP_NOFS
3、新增__GFP_REPEAT，__GFP_NOFAIL，__GFP_NORETRY分配标志
4、页面分配函数alloc_pages()，get_free_page()被包含在&linux/gfp.h&中
5、对NUMA系统新增了几个函数：
a) struct page *alloc_pages_node(int node_id,
unsigned int gfp_mask,
unsigned int order);
b) void free_hot_page(struct page *page);
c) void free_cold_page(struct page *page);
6、 新增Memory pools
&linux/mempool.h&
mempool_t *mempool_create(int min_nr,
mempool_alloc_t *alloc_fn,
mempool_free_t *free_fn,
void *pool_data);
void *mempool_alloc(mempool_t *pool, int gfp_mask);
void mempool_free(void *element, mempool_t *pool);
int mempool_resize(mempool_t *pool, int new_min_nr, int gfp_mask);
16、 per-CPU变量
get_cpu_var();
put_cpu_var();
void *alloc_percpu(type);
void free_percpu(const void *);
per_cpu_ptr(void *ptr, int cpu)
get_cpu_ptr(ptr)
put_cpu_ptr(ptr)
老版本使用
DEFINE_PER_CPU(type, name);
EXPORT_PER_CPU_SYMBOL(name);
EXPORT_PER_CPU_SYMBOL_GPL(name);
DECLARE_PER_CPU(type, name);
DEFINE_PER_CPU(int, mypcint);
2.6内核采用了可剥夺得调度方式这些宏都不安全。
17、 内核时间变化
1、现在的各个平台的HZ为
Alpha: ; ARM: 100/128/200/1000; CRIS: 100; i386: 1000; IA-64:
1024; M68K: 100; M68K-nommu: 50-1000; MIPS: 100/128/1000; MIPS64: 100;
PA-RISC: 100/1000; PowerPC32: 100; PowerPC64: 1000; S/390: 100; SPARC32:
100; SPARC64: 100; SuperH: 100/1000; UML: 100; v850: 24-100; x86-64: 1000.
2、由于HZ的变化，原来的jiffies计数器很快就溢出了，引入了新的计数器jiffies_64
3、#include &linux/jiffies.h&
u64 my_time = get_jiffies_64();
4、新的时间结构增加了纳秒成员变量
struct timespec current_kernel_time(void);
5、他的timer函数没变，新增
void add_timer_on(struct timer_list *timer, int cpu);
6、新增纳秒级延时函数
ndelay()；
7、POSIX clocks 参考kernel/posix-timers.c
18、 工作队列（workqueue）
1、任务队列（task queue ）接口函数都被取消，新增了workqueue接口函数
struct workqueue_struct *create_workqueue(const char *name);
DECLARE_WORK(name, void (*function)(void *), void *data);
INIT_WORK(struct work_struct *work,
void (*function)(void *), void *data);
PREPARE_WORK(struct work_struct *work,
void (*function)(void *), void *data);
2、申明struct work_struct结构
int queue_work(struct workqueue_struct *queue,
struct work_struct *work);
int queue_delayed_work(struct workqueue_struct *queue,
struct work_struct *work,
unsigned long delay);
int cancel_delayed_work(struct work_struct *work);
void flush_workqueue(struct workqueue_struct *queue);
void destroy_workqueue(struct workqueue_struct *queue);
int schedule_work(struct work_struct *work);
int schedule_delayed_work(struct work_struct *work, unsigned long
19、 新增创建VFS的&libfs&
libfs给创建一个新的文件系统提供了大量的API.
主要是对struct file_system_type的实现。
参考源代码：
drivers/hotplug/pci_hotplug_core.c
drivers/usb/core/inode.c
drivers/oprofile/oprofilefs.c
fs/ramfs/inode.c
fs/nfsd/nfsctl.c (simple_fill_super() example)
20、 DMA的变化
未变化的有：
void *pci_alloc_consistent(struct pci_dev *dev, size_t size,
dma_addr_t *dma_handle);
void pci_free_consistent(struct pci_dev *dev, size_t size,
void *cpu_addr, dma_addr_t dma_handle);
变化的有：
1、 void *dma_alloc_coherent(struct device *dev, size_t size,
dma_addr_t *dma_handle, int flag);
void dma_free_coherent(struct device *dev, size_t size,
void *cpu_addr, dma_addr_t dma_handle);
2、列举了映射方向：
enum dma_data_direction {
DMA_BIDIRECTIONAL = 0,
DMA_TO_DEVICE = 1,
DMA_FROM_DEVICE = 2,
DMA_NONE = 3,
dma_addr_t dma_map_single(struct device *dev, void *addr,
size_t size,
enum dma_data_direction direction);
void dma_unmap_single(struct device *dev, dma_addr_t dma_addr,
size_t size,
enum dma_data_direction direction);
4、页面映射
dma_addr_t dma_map_page(struct device *dev, struct page *page,
unsigned long offset, size_t size,
enum dma_data_direction direction);
void dma_unmap_page(struct device *dev, dma_addr_t dma_addr,
size_t size,
enum dma_data_direction direction);
5、有关scatter/gather的函数：
int dma_map_sg(struct device *dev, struct scatterlist *sg,
int nents, enum dma_data_direction direction);
void dma_unmap_sg(struct device *dev, struct scatterlist *sg,
int nhwentries, enum dma_data_direction direction);
6、非一致性映射（Noncoherent DMA mappings）
void *dma_alloc_noncoherent(struct device *dev, size_t size,
dma_addr_t *dma_handle, int flag);
void dma_sync_single_range(struct device *dev, dma_addr_t dma_handle,
unsigned long offset, size_t size,
enum dma_data_direction direction);
void dma_free_noncoherent(struct device *dev, size_t size,
void *cpu_addr, dma_addr_t dma_handle);
7、DAC (double address cycle)
int pci_dac_set_dma_mask(struct pci_dev *dev, u64 mask);
void pci_dac_dma_sync_single(struct pci_dev *dev,
dma64_addr_t dma_addr,
size_t len, int direction);
新增seqlock主要用于：
1、少量的数据保护
2、数据比较简单(没有指针)，并且使用频率很高
3、对不产生任何副作用的数据的访问
4、访问时写者不被饿死
&linux/seqlock.h&
seqlock_t lock1 = SEQLOCK_UNLOCKED;
或seqlock_t lock2; seqlock_init(&lock2);
void write_seqlock(seqlock_t *sl);
void write_sequnlock(seqlock_t *sl);
int write_tryseqlock(seqlock_t *sl);
void write_seqlock_irqsave(seqlock_t *sl, long flags);
void write_sequnlock_irqrestore(seqlock_t *sl, long flags);
void write_seqlock_irq(seqlock_t *sl);
void write_sequnlock_irq(seqlock_t *sl);
void write_seqlock_bh(seqlock_t *sl);
void write_sequnlock_bh(seqlock_t *sl);
unsigned int read_seqbegin(seqlock_t *sl);
int read_seqretry(seqlock_t *sl, unsigned int iv);
unsigned int read_seqbegin_irqsave(seqlock_t *sl, long flags);
int read_seqretry_irqrestore(seqlock_t *sl, unsigned int iv, long
22、 内核可剥夺
&linux/preempt.h&
preempt_disable()；
preempt_enable_no_resched()；
preempt_enable_noresched()；
preempt_check_resched()；
23、 眠和唤醒
1、原来的函数可用，新增下列函数：
prepare_to_wait_exclusive()；
prepare_to_wait()；
2、等待队列的变化
typedef int (*wait_queue_func_t)(wait_queue_t *wait,
unsigned mode, int sync);
void init_waitqueue_func_entry(wait_queue_t *queue,
wait_queue_func_t func);
24、 新增完成事件（completion events）
&linux/completion.h&
init_completion(&my_comp);
void wait_for_completion(struct completion *comp);
void complete(struct completion *comp);
void complete_all(struct completion *comp);
25、 RCU（Read-copy-update）
rcu_read_lock();
void call_rcu(struct rcu_head *head, void (*func)(void *arg),
void *arg);
26、 中断处理
1、中断处理有返回值了。
IRQ_RETVAL(handled)；
2、cli(), sti(), save_flags(), 和 restore_flags()不再有效，应该使用local_save
_flags() 或local_irq_disable()。
3、synchronize_irq()函数有改动
4、新增int can_request_irq(unsigned int irq, unsigned long flags);
5、 request_irq() 和free_irq() 从 &linux/sched.h&改到了 &linux/interrupt.h&
27、 异步I/O(AIO)
&linux/aio.h&
ssize_t (*aio_read) (struct kiocb *iocb, char __user *buffer,
size_t count, loff_t pos);
ssize_t (*aio_write) (struct kiocb *iocb, const char __user *buffer,
size_t count, loff_t pos);
int (*aio_fsync) (struct kiocb *, int datasync);
新增到了file_operation结构中。
is_sync_kiocb(struct kiocb *iocb)；
int aio_complete(struct kiocb *iocb, long res, long res2);
28、 网络驱动
1、struct net_device *alloc_netdev(int sizeof_priv, const char *name,
void (*setup)(struct net_device *));
struct net_device *alloc_etherdev(int sizeof_priv);
2、新增NAPI(New API)
void netif_rx_schedule(struct net_device *dev);
void netif_rx_complete(struct net_device *dev);
int netif_rx_ni(struct sk_buff *skb);
(老版本为netif_rx())
29、 USB驱动
老版本struct usb_driver取消了，新的结构体为
struct usb_class_driver {
struct file_operations *
int minor_
int usb_submit_urb(struct urb *urb, int mem_flags);
int (*probe) (struct usb_interface *intf,
const struct usb_device_id *id);
30、 block I/O 层
这一部分做的改动最大。不祥叙。
31、 mmap()
int remap_page_range(struct vm_area_struct *vma, unsigned long from,
unsigned long to, unsigned long size,
pgprot_t prot);
int io_remap_page_range(struct vm_area_struct *vma, unsigned long from,
unsigned long to, unsigned long size,
pgprot_t prot);
struct page *(*nopage)(struct vm_area_struct *area,
unsigned long address,
int *type);
int (*populate)(struct vm_area_struct *area, unsigned long address,
unsigned long len, pgprot_t prot, unsigned long pgoff,
int nonblock);
int install_page(struct mm_struct *mm, struct vm_area_struct *vma,
unsigned long addr, struct page *page,
pgprot_t prot);
struct page *vmalloc_to_page(void *address);
32、 零拷贝块I/O(Zero-copy block I/O)
struct bio *bio_map_user(struct block_device *bdev,
unsigned long uaddr,
unsigned int len,
int write_to_vm);
void bio_unmap_user(struct bio *bio, int write_to_vm);
int get_user_pages(struct task_struct *task,
struct mm_struct *mm,
unsigned long start,
int write,
int force,
struct page **pages,
struct vm_area_struct **vmas);
33、 高端内存操作kmaps
void *kmap_atomic(struct page *page, enum km_type type);
void kunmap_atomic(void *address, enum km_type type);
struct page *kmap_atomic_to_page(void *address);
老版本：kmap() 和 kunmap()。
34、 驱动模型
主要用于设备管理。
2、 Kobjects
推荐文章：
2.6里不需要再定义“__KERNEL__”和“MODULE”了。
用下面的Makefile文件编译：
& & obj-m& &:= hello.o
& & KDIR& &:= /lib/modules/$(shell uname -r)/build
& & PWD& && &:= $(shell pwd)
& & default:
& & & & & & & $(MAKE) -C $(KDIR) M=$(PWD) modules
&&&& 摘要: The Linux Kernel Module Programming GuidePeter Jay SalzmanMichael BurianOri Pomerantz...&&
Rusty Russell, mailing list netfilter@lists.samba.org
$Revision: 1.3 $ $Date:
13:21:56 $
简体中文：
感谢 网中人 提供的繁体参照
此文档描述在Linux2.4 内核中，如何使用iptables过滤不正确的包
（译者：Packet在很多专业书籍中译为分组，此处根据大部分人的习惯，仍译为包）
欢迎，亲爱的读者。
这篇文章假设你知道有关IP地址、网络地址、网络掩码、选路和DNS。如果不知道，我建议你先阅读网络概念的HowTo（Network Concepts HOWTO）。
这篇HOWTO并非一个简要的介绍（会让你发热、发毛，没有安全感），也非一个完全的原始的披露（最吃苦耐劳的人也会被搅晕，不过必定会有所斩获）。
你的网络并不安全。问题在于，必须获取快速、简洁的通讯，但又必须限于良好的、无恶意的行为，就如同在嘈杂的大戏院里，你可以高谈阔论，但是绝不能大喊：着火了！。这篇HOWTO不能解决这种问题。
（译者：所有安全都只是相对的，否则根本不会产生这种东西了）
因此，你只能决定在哪方面妥协。我想帮助你使用一些可用的工具和一些通常需要注意的漏洞，希望你将它们用在好的一面，而不是出于恶意的目的 -- 另一个同样重要的问题。
(C) 2000 Paul `Rusty' Russell. Licenced under the GNU GPL.
这里有三个官方站点：
o Thanks to Filewatcher .
o Thanks to The Samba Team and SGI .
o Thanks to Harald Welte .
你可以通过以下站点访问全部相关站点。
以下是netfilter官方邮件列表
包过滤器是这样一种软件：它检查通过的每个包的头部，然后决定如何处置它们。可以这样对待它们：丢弃（也就是说，如果这个包从未被接受，那么丢弃它），通过（也就是说，让包通过），或者更复杂的（操作）。
Linux下，包过滤内建在内核中（内核模块，或者内建），而且我们还有处理包的一些技巧，不过检查头部和处理包的一般性原则仍在这里。
控制、安全、警戒。
当你用你的Linux服务器把你的内部网和另一个网络（就是Internet吧）连起来，你可以决定哪些通信是允许的，哪些不允许。例如，包头部包含了包的目标地址，你可以阻碍包发送到（你）确定的几个外部网络，另一个例子，我用NetScape连接到Dilbertarchives。页面上有来自doubleclick.net的广告，然后NetScape浪费了我的时间愉快的下载他们。告诉包过滤器禁止任何来自或者发往doubleclick.net地址的包，问题就解决了。（当然有更好的办法，见Junkbuster）。
当Linux服务器是混乱的Internet和你良好的、有序的网络之间唯一的东西时，你最好能知道哪些东西可以进入你的大门。例如，你可以允许所有（包）从你的网络发出，不过你可能会为来自外部的著名的“Ping of Death”而焦急。另一个例子，你不希望外人telnet到你的Linux服务器，尽管所有账户都有密码。或许你只想（像绝大多数人）成为Internet的旁观者，而非它的服务器（也可能愿意是吧）。简单的不允许任何人接入，设置包过滤器拒绝所有进入的包（是不错的办法）。
有时，本地网络上错误配置的机器可能会向外部喷射出大量的包。最好是当（网络中）出现任何不正常现象时，让包过滤器告诉你。这样你可能可以做点什么，或者你天生就很好奇。
Linux内核在其1.1系列中就有了包过滤功能。第一代，由Alan Cox1994年移植于BSD的ipfw。这在Linux 2.0中由JosVos和其他人进行了加强；用户空间工具'ipfwadm'可用来控制内核过滤规则。1998年中，我在MichaelNeuling的帮助下，为Linux 2.2进行了重写，推出了用户空间工具'ipchains'。最后，1999年中，基于Linux2.4的第四代工具，'iptables'，和其他内核的改写正式推出。这就是这个iptables的HOWTO文档的所在。
译者：userspace根据台湾同胞的说法，是用来区别系统内存中的适用范围的，分为核心空间和使用者空间，不必深究）
你需要包含netfilter架构的内核。netfilter是Linux中的一个通用框架，也可以插入（plug in）其他内容（如iptables模块）。也就是说你需要2.3.15及以后版本，而且在配置内核时对CONFIG_NETFILTER回答'Y'。
iptables这个工具用来和内核交互并告诉它哪些包应该过滤。除非你是程序员或者 特别好奇，否则这就是你用来控制包过滤的了。
iptables工具向内核的包过滤表中插入和删除规则。这就意味着无论怎样设置，启动后信息都会丢失；请参看（Making Rules Permanent）来确定如何保证下次启动这些规则能被恢复。
iptables是ipfwadm和ipchains的替代品。如果你是它们的使用者，请参看 ，如何轻松使用iptables。
你当前的防火墙设置保存在内核中，所以重启后就会丢失。你可以试着用iptables-save和iptables-restore脚本来保存他们，并由一个文件恢复。
我是Rusty Russell。Linux IP防火墙的维护者，也是一个适当的时候出现在适当的地方的coder。我写了ipchains（参见看看实际的工作其实由哪些人完成），并希望能学到足够的东西修正这次的包过滤。
，一个非常出色的防火墙公司，总之一堆广告，此处省略一千字……
在此，我想澄清一个误解：我不是内核专家，我了解它，是因为我的核心工作让我接触了他们：David S.Miller, Alexey Kuznetsov, Andi Kleen, AlanCox。无论如何，他们做了最深层的工作，轮到我时，已经非常安全和容易了。
绝大部分人只有一个PPP连接到Internet，而且不希望有人由此进入他们的网络或者防火墙：
# 插入connection-tracking模块（如国内建在内核中就不需要）
# insmod ip_conntrack
# insmod ip_conntrack_ftp
# 对创建大量新的连接创建一个链，除非这些连接来自内部。
# iptables -N block
# iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -A block -m state --state NEW -i ! ppp0 -j ACCEPT
# iptables -A block -j DROP
# 由INPUT和FORWARD链跳往（刚刚创建的）那条链。
# iptables -A INPUT -j block
# iptables -A FORWARD -j block
内核由'filter'表中的以下三个规则开始。这些被称为防火墙链或就叫链。这三个链分别是 INPUT、OUTPUT和FORWARD。
对于ASCII艺术迷来说，链好象这样：（注意：这与2.0和2.2内核非常不同）
译者：ASCII艺术，这里指的是利用纯ASCII文本作图
--&[Routing ]---&|FORWARD|-------&
[Decision]
----& Local Process ----
三个圈代表上面说的三个链。当包到达图中的一个圈，那个链就检查并确定包的命运。 如果链决定DROP包，包在那里就被杀死。但是如果链决定让包ACCEPT，包就继续在图中前进。
一个链是规则的列表。每个规则都会说：'如果包头看上去像这个的话，那么就这样处理'。 如果规则和包不匹配，由链中的下一个规则处理。最后，如果再也没有要进行处理的规则了， 内核就根据链的原则（policy，有时称为默认规则）来决定应当如何做。在一个注重安全的 系统中，原则通常是让内核丢弃这个包。
1. 当一个包进入时（就是由以太网卡），内核首先检查包的目的地。这被称作“选路”。
2. 如果它就是进入本机的，包会向图中的下方移动，到达INPUT链。如果到了这里，任何等待这个包的进程都会收到它。
3. 否则，如果内核未被允许转发，或者不知道该如何转发这个包，它会被丢弃。如果允许转发，而且包的目的地是另一个网络接口（如果你有另一个的话），那么包向我们图中的右边行进，到达FORWARD链。如果允许通过（ACCEPT），它就被送了出去。
4. 最后，服务器上运行的程序可以发送网络包。这些包马上通过OUTPUT链。如果被允（ACCEPT），那么包继续向可以到达它的目的地的网络接口发送。
iptables有着非常详尽的使用手册(man iptables)，而且如果你需要某个选项更详细的介绍。看看可能对你非常有用。
使用iptables你可以做很多不同的事。开始的内建的三个链INPUT、OUTPUT和FORWARD是不能被删除的。让我们看看整个链的管理。
1. 创建一个新的链 (-N)。
2. 删除一个空链(-X)。
3.修改内建链的原则(-P)。
4. 显示链中的规则（表）(-L)。
5. 清空一个链(-F)。
6. 将链中所有规则的包和字节计数器清零(-Z)。
有几种办法操作链中的规则：
1. 向链中添加一条新规则(-A)。
2. 在链中某个位置插入一条新规则(-I)。
3. 替换某个位置的规则(-R)。
4. 删除链中某个位置的规则，或者是第一个被匹配的。(-D)。
ptables可以作为模块，称为'iptables_filter.o，可以在第一次运行iptables时自动被装载。也可以永久性的编到内核中。
在所有iptables命令执行之前（当心：某些发布版会在初始化脚本中运行iptables），所有内建链中都没有任何规则（'INPUT'、'FORWARD'和'OUTPUT')，所有链的原则都是ACCEPT。你可以在装载iptable_filter模块时，提供'forward=0'选项来修改FORWARD的默认原则。
这是基本的包过滤：管理规则，添加(-A)和删除(-D)命令可能是最常用的。其他的(-I插入和-R替换）只是简单的扩展而已。
每个规则都有一组条件来匹配包，和如果匹配了该如何做（target）。例如，你可能希望丢弃所有来自127.0.0.1的ICMP包。这样我们的条件就是协议必须是ICMP，而且源地址必须是127.0.0.1，我们的目标是丢弃(DROP)。127.0.0.1是一个回送接口，即使你没有真正的网络连接它也会存在。你可以用ping程序生成这样的包（它简单的发送ICMP 类型8（echo request），所有愿意响应的主机都会用ICMP类型0（echo reply）来响应）。这对于测试非常有用。
# ping -c 1 127.0.0.1
PING 127.0.0.1 (127.0.0.1): 56 data bytes
64 bytes from 127.0.0.1: icmp_seq=0 ttl=64 time=0.2 ms
--- 127.0.0.1 ping statistics ---
1 packets transmitted, 1 packets received, 0% packet loss
round-trip min/avg/max = 0.2/0.2/0.2 ms
# iptables -A INPUT -s 127.0.0.1 -p icmp -j DROP
# ping -c 1 127.0.0.1
PING 127.0.0.1 (127.0.0.1): 56 data bytes
--- 127.0.0.1 ping statistics ---
1 packets transmitted, 0 packets received, 100% packet loss
这里，第一个ping是成功的（'-c 1'告诉ping只发送一个包）
然后我们可以向'INPUT'链中添加（-A）一个规则，制定来自127.0.0.1('-s 127.0.0.1')的ICMP协议('-p icmp')包都将被丢弃('-j DROP')。
然后我们测试我们的规则，用第二个ping。在程序放弃等待永远不可能的响应之前，会暂停一下。
我们可以用两种办法中的任一种删除规则。首先，因为知道这是INPUT链中唯一的规则，我们用编号删除：
# iptables -D INPUT 1
删除INPUT链中的编号为1的规则
第二种办法是 -A 命令的映射，不过用-D替换-A。当你的链中规则很复杂，而你不想计算它们的编号的时候这就十分有用了。这样的话，我们可以使用：
# iptables -D INPUT -s 127.0.0.1 -p icmp -j DROP
-D的语法必须和-A（或者-I或者-R）一样精确。如果链中有多个相同的规则，只会删除第一个。
我们已经看了，用'-p'指定协议，用'-s'指定源地址，不过还有其他选项我们可以用来指定包的特征。下面是一个详细的手册。
源（'-s'，'--source'或'--src'）和目的（'-d'，'--destination'或'--dst'）IP地址可以用四种办法指定。最常用的方法是使用全名，就像'localhost'或者''。第二种办法是指定IP地址，如'127.0.0.1'。
第三和第四种办法允许指定一组IP地址，就像'199.95.207.0/24'或者'199.95.207.0/255.255.255.0'。这指定了从199.95.207.0到199.95.207.255范围内的所有IP地址。'/'后面的数字说明哪部分IP地址是有效的。'32'或者'255.255.255.255‘为默认的（匹配整个IP地址）。用'/0'来指定任何IP地址，像这样：
# '-s 0/0'在这里是多余的
# iptables -A INPUT -s 0/0 -j DROP
这很少用到，这和上面出现过的不指定'-s'结果完全一样。
很多标记，包括'-s'（或'--source'）和'-d'（'--destination'）标记可以在前面加上'!'标志（读作'not'），来匹配所有和给出的 NOT 的地址。例如， '-s ! localhost'匹配所有不是来自本机的包。
可以用'-p'（或'--protocol'）指定协议。协议可以是数字（如果你知道IP的协议数值）或者像'TCP'、'UDP'或者'ICMP'这类的名称。大小写无所谓，所以'tcp'和'TCP'一样。
协议名称前可加上'!'，以反向解释它，例如'-p ! TCP'将匹配所有不是TCP的包。
'-i'（或'--in-interface'）和'-o'（或'--out-interface'）选项指定匹配的接口名。接口可以是包进入的('-i')或者送出('-o')的物理设备。你可以用ifconfig命令列出当前'up'的接口。（也就是说正在工作的）。
通过INPUT链的包不会有送出接口，所以在这个链中'-o'永远不会匹配。同样，通过OUTPUT链的包也没有进入接口，这个链中的'-i'也不会被匹配。
只有通过FORWARD链的包才有进入和送出两个接口。
可以指定一个当前不存在的接口。在这个接口可用之前，规则不能匹配任何东西。这对于拨号PPP连接及类似的非常有用（通常是ppp0接口）。
一个特殊情况，接口名后面是一个'+'，那就会匹配以这个字符串开头的所有接口（无论当前是否存在）。例如，指定一个匹配所有ppp接口的规则，要用到-i ppp+选项。
接口名也可以在前面插入 '!'，来匹配所有与指定接口不同的包，如-i ! ppp+。
译者：为帮助大家理解，此处附上IP数据报的格式，摘自《Internetworking with TCP/IP》
分片偏移量
首部效验和
目的IP地址
有时一个包太大，不可能适合所有线路。这样的话，包会被分成片，然后当作多个包发送。最终重组这些分片来重建整个包。
分片的问题是，被检查的初始片含有整个头部字段（IP+TCP，UDP和ICMP），但随后的包只有一部分头（没有附加协议字段的IP），因此，检查后面的分片的头部（就像有TCP、UDP和ICMP一样）是不可能的。
如果你在做NAT或连接追踪，那么所有分片在包过滤代码处理以前都会合并，所以你不需要为分片担心。
还请注意，到filter表中的INPUT链（或者任何由NF_IP_LOCAL_IN钩子程序钩入的表）的包实际上由核心IP栈片重组后到达。
否则，理解分片是如何被过滤规则处理的就非常重要了。任何过滤规则要求我们没有的信息，将被认为不匹配。这意味着（分片的）第一片像普通的包一样被处理。第二及后面的片则不会。因此，规则 -p TCP --sportwww（指定源端口为'www'）永远不会匹配一个分片（的包）（除了第一片），相反的规则 -p TCP --sport ! www也不会。
无论如何，你可以用'-f'（或'--fragment'）标记指定专门处理第二及以后的分片的规则。当然也可以指定一个规则，让它不去匹配第二及以后的分片，在'-f'前加上'!'。
通常，让第二及以后的分片通过被认为是安全的，因为如果过滤处理了第一片，那么就无法在目标主机上进行重组。不过，已知的Bug是发送分片可能会轻易的让主机崩溃。你自己看着办吧。
网络高手注意：当这类检查进行时，畸形的包（防火墙读取的ICMP代码和类型过短的TCP、UDP和ICMP包）都将被丢弃。所以TCP分片从位置8开始。（译者：什么意思？大概是指IP包中的首部字段位置）
例如，下面的规则会丢弃任何发往192.168.1.1的分片。
# iptables -A OUTPUT -f -d 192.168.1.1 -j DROP
iptables是可扩展的，也就是包括内核和iptables工具都可以扩充新的特性。
下列部分扩展是标准的，其他的则是派生的。其他人可以做出扩展并发布给合适的人。
内核扩展一般位于内核模块子目录，诸如/lib/modules/2.4.0-test10/kernel/net/ipv4/netfilter。如果你使用了CONFIG_KMOD设置来编译内核，那么它们要求被装载，所以你不需要手工插入。
iptables程序扩展通常是位于/usr/local/lib/iptables/下的共享库，当然也可能在/lib/iptables或者/usr/lib/iptables，具体的要根据不同的发行版本来确定。
扩展有两种：新的目标，新的匹配（我们马上会谈到新的目标）。有些协议自动给出新的测试：如下所示，现有的包括TCP、UDP和ICMP。
这样，你可以在命令行中在 '-p'选项后指定新的测试，就可以载入扩展（模块）了。当允许扩展时，可以用'-m'选项装入扩展。
在选项后面（'-p'，'-j'或者'-m'）加上 '-h'或'--help'来获取扩展的帮助。
# iptables -p tcp --help
如果指定了'-p tcp'，那么TCP扩展将自动加载，并提供下列选项（不匹配分片）。
--tcp-flags
可附加一个'!'。有两个标志字串可以通过TCP标记来过滤。第一个标志字符串是mask：你想要测验的标志列表。第二个指出哪些将要被设置。例如：
# iptables -A INPUT --protocol tcp --tcp-flags ALL SYN,ACK -j DROP
意思是所有标志都将被测试（'ALL'和'SYN, ACK,FIN,RST,URG,PSH'同义），不过只设置SYN和ACK。当然也可以用'NONE'表示无标志。
前面的'!'是可选的，是'--tcp-flags SYN, RST, ACK, SYN'的缩写
--source-port
后面可以跟一个'!'，可以是单个TCP端口，或一段端口。可以是/etc/services中的端口名或者数字。端口范围格式是低端口名 : 高端口名，或者（指定大于或等于给出的端口）是端口名 + ：，或者（指定小于或等于给出的端口）是: + 端口名。
就是 '--source-port'。
--destination-port
和上面类似，不过是指定匹配的目的端口（范围）。
--tcp-option
可以跟一个'!'和一个数字，匹配的是TCP选项和数字相等的包。如果试图用这个TCP选项匹配一个没有完整的TCP包头的包，那么这个包会被自动丢弃。
7.3.6.1.1.
有时只允许单向的TCP连接会很有用。例如，你可能会允许连接到外部WWW服务器，但不会允许来自那个服务器的连接。
最简单的举动可能是阻止来自那个服务器的包，可惜，TCP连接需要包双向传送（才能正常工作）。
解决办法是，只阻挡那些用来请求连接的包。这些包称为SYN包（OK，从技术上说，它们的SYN标志被设置，而没有设置RST和ACK标志，不过我们简单的称为SYN包）。通过只阻止这种包，我们就可以阻止来自那些地方的连接企图。
'--syn'标志是这样用的：只对指定了TCP协议的规则有效。例如，指定来自192.168.1.1的连接请求。
-p TCP -s 192.168.1.1 --syn
当然也可以在前面加上'!'，意即所有不是初始连接的包。
这些扩展在指定'-p udp'时自动加载。可以提供 '--source-port'、'--sport'、'--destination-port'和'--dport'等和TCP类似的选项。
这些扩展在指定'-p icmp'时自动加载。只提供一个新的选项：
--icmp-type
可以跟'!'，icmp类型名称（如'host-unreachable'）或者数值（如'3'），或者数值类型/代码（如'3/3'）。用'-p icmp --help'可以列出可用的icmp类型名。
这些netfilter包中的其他扩展尚属于演示阶段，（如果安装了的话）可以用'-m'来启用。
--mac-source
可以跟一个'!'，后面是以太网地址，用冒号分隔的16近制表示，如`--mac-source 00:60:08:91:CC:B7'。
此模块必须明确指定'-m limit'或'--match limit'。用来限制匹配的速率。就像抑制记录信息。只会匹配给定的数字/每秒（默认是每小时3个匹配，和5个触发）。可以有两个参数：
后面跟数字：指定每秒钟允许的匹配最大平均数。这个数字可以指定 明确的单位，使用'/second'、`/minute'、`/hour' 或者 `/day'，或者 只写一部分（如'5/second'和'5/s'一样）。
--limit-burst
后面跟一个数字，指明在上面的limit起作用前最大的触发值。
这个匹配（项）通常和LOG目标结合起来使用，以对速率限制进行记录。为了理解它是如何工作的，我们来看看下面这条规则，它使用默认限制参数记录包。
# iptables -A FORWARD -m limit -j LOG
当这条规则第一次启用时，包开始被记录。实际上，由于默认触发是5，前五个包会被记录。然后，每隔20分钟再记录一次包，无论这期间有多少包到达。而且，每个不匹配包的20分钟间隔里，会恢复一个触发（值）。如果100分钟都没有包到达这个规则，那么所有触发都会恢复，回到起点。
提示：你目前不能以大于59小时的时间来创建这种规则，所以如果你设置一个平均率为一天，那么你的触发率必须小于3。
你也可以将此模块用于避免使用快速响应速率的各类拒绝服务攻击(DoS，Denial of Server）。
（译者：以下是较著名的攻击）
Syn-flood protection:
# iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
Furtive port scanner:
# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
Ping of death:
# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
这个模块工作原理类似于“节流阀”，以下是图示。
rate (pkt/s)
Edge of DoS -|.....:.........\....................... DoS的边界 =
= (limit *
limit-burst) |
End of DoS
-|/....:..............:.../.......\..../.
-------------+-----+--------------+------------------& time (s)
Match | Didn't Match |
我们匹配由五个包触发的每秒一个包，不过每秒钟第四个包才开始进入（这个规则），进行三秒钟，然后重新开始。
&--Flood 1--&
&---Flood 2---&
Y -& Matched Rule
N -& Didn't Match Rule
0 +--------------------------------------------------&
Time (seconds)
你可以看见，前五个包是允许超过一个包/每秒（这个速率）的，然后就开始限制。 如果有一个暂停，那么另一个触发也是允许的，但不能超过规则设置的最大速率。
--uid-owner userid
根据给出的有效的（数值）user id来匹配包的创建进程。
--gid-owner groupid
根据给出的有效的（数值）group id 来匹配包的创建进程。
--pid-owner processid
根据给出的process id 来匹配包的创建进程。
--sid-owner sessionid
根据给出的 session group 来匹配包的创建进程。
这是试验性模块，必须明确指定'-m unclean'或者'--match unclean'。它对包进行各种随机判断。此模块还未通过审核，所以不要用在安全设施上。（可能造成更糟糕的结果，它自己可能还有Bug）。没有提供选项。
最有用的匹配标准是'state'扩展。它负责解释'ip_conntrack'模块的connection-tracking分析。 这是推荐使用的（好东东）。
通过指定'-m state'来允许附加的'--state'选项，匹配用逗号分割的状态列表（'!'标志表明不符合那些状态（的状态））。
由新连接创建的包
ESTABLISHED
属于已存在连接的包（也就是说，响应的包）
和一个已存在连接有关，但不是它的一部分的包。如ICMP错误，或者（已加载FTP模块）一个建立FTP数据连接的包。
由于以下原因而不能被识别的包：包括内存不足和不是相应当前任何连接的ICMP错误。通常这些包会被丢弃。
这个强大的匹配扩展的一个例子：
# iptables -A FORWARD -i ppp0 -m state ! --state NEW -j DROP
现在，我们知道了如何对包进行测试，但是我们还需要告诉那些匹配的包应该如何做。这被称作规则的目标。
有两个很简单的内建目标：DROP和ACCEPT。我们已经看过了。如果包匹配的规则，其目标是这二者中的一个，那么不再考虑更多的规则了：包的命运已经决定。
除此之外有两种目标：扩展的和用户定义的链。
iptables一个强大的特点是由ipchains继承来的可以让用户创建新的链，附加在三个内建的链上（INPUT、FORWARD和OUTPUT）。按照惯例，用户定义链使用小写以区分他们。（我们会在“Operations on an EntireChains”中描述如何创建新的用户定义链）。
当包匹配的链的目标是一个用户定义链时，包就转移到用户定义链中的规则。如果 没有决定包的命运，那么包在（用户定义链）中的移动就结束了，并回到当前链的下一个规则。
搞搞ASCII艺术吧。考虑两个（笨蛋）链：INPUT（内建的）和test（用户定义的）。
----------------------------
----------------------------
| Rule1: -p ICMP -j DROP
| Rule1: -s 192.168.1.1
|--------------------------|
|--------------------------|
| Rule2: -p TCP -j test
| Rule2: -d 192.168.1.1
|--------------------------|
----------------------------
| Rule3: -p UDP -j DROP
----------------------------
考虑一个由192.168.1.1到1.2.3.4的TCP包。它进入INPUT链，由Rule1检查 - 不匹配。 Rule2匹配，那么它的目标就是test，所以下一个检查由test开始。test中的第一个规则 Rule1是匹配的，但是没有指定目标，所以由第二个规则Rule2检查。结果是不匹配，而我们 到达了链的尾部。于是回到INPUT链，因为刚刚被Rule2检查，所以现在由Rule3来检查，仍然 不匹配。
所以这个包的路线是：
__________________________
------------------------|--/
-----------------------|----
|-----------------------|/-|
|----------------------|---|
|--------------------------|
-----------------------v----
/--+___________________________/
------------------------|---
用户定义链可以跳转到另一个用户定义链（不过不能循环：如果发现循环，包就会被丢弃）。
其他类型的扩展是目标。目标扩展由内核模块组成，而且iptables的一个可选扩展提供了新的命令行选项。有几个扩展是包含在默认netfilter发布中的。
--log-level
跟一个级别名称或数字。合适的名字是（忽略大小写）'debug'、'info'、'notice'、'warning'、'err'、'crit'、'alert'和'emerg'，相当于数字7到0。请参考syslog.conf的手册获取这些级别的说明。默认是'warning'。
--log-prefix
跟一个最多29个字符的字符串，它被写入到log信息的开始处，这样可以区别出来。
这个模块最有用的就是跟在limit match后面，这样你就不会被你的log淹没了。
此模块和'DROP'效果一样，除了会发送一个'port unreachable'的ICMP错误报文。注意如果属于以下情况，ICMP错误报文不会发送：
o 包一开始就是ICMP错误报文，或者是未知的ICMP类型。
o 包被作为无头的分片过滤了。
o 我们已经向那里发送了太多的ICMP错误报文（参见/proc/sys/net/ipv4/icmp ratelimit）。
有两个特殊的内建目标：RETURN和QUEUE。
RETURN如同到达这个链的尾部：如果是内建的链的规则，那么这个链的默认规则将被执行。如果是用户定义链，当跳至这个链中的这条规则（包含RETURN）时，回到前面的链继续匹配。
QUEUE是一个特别的目标，会为用户空间进程队列这个包。要这样使用，需要两个部件：
o 一个&queue handler&，处理用户空间与内核之间的机制。
o 和一个用户空间用来接收的应用程序，可能是操作，以及对包进行裁决。
IPv4 iptables的标准queue handler是 ip_queue 模块，跟随内核发布并标记为实验中。
下面是一个如何用iptables为用户空间进程队列包的快速例子：
# modprobe iptable_filter
# modprobe ip_queue
# iptables -A OUTPUT -p icmp -j QUEUE
在这个例子中，本地生成的送出ICMP包（如由ping产生）到达ip_queue模块，然后包被试图送往用户空间应用。如果没有用户空间应用在（那儿）等着，包就被丢弃了。
要写一个用户空间应用，需要libipq API。和iptables一起发布。在CVS的testsuite tools（如redirect.c）中可以找到相关例子。
可以通过这里检查ip_queue的状态：
/proc/net/ip_queue
队列的最大长度（也就是不包含返回包的送往用户空间包的数量）可以通过这里控制：
/proc/sys/net/ipv4/ip_queue_maxlen
默认队列长度是1024。一旦达到这个长度，新的包就会被丢弃，直到队列长度小于这个值。好的协议如TCP，会对丢弃的包作出拥挤的解释，而且在队列满了后会很理想的将它挡回。无论如何，如果默认值太小的话，最好是多实验以决定队列的最大长度。
iptables一个非常有用的特性是可以将链中相关的规则成组。你可以随意给链取名，不过我建议使用小写字母以避免与内建的链和目标产生冲突。链的名称最长为31个字母。
让我们创建一个新链。因为我是个充满想象的家伙，我叫它test。使用'-N'或'--new-chain'选项：
# iptables -N test
如此简单，现在你可以像上面说的那样放入规则了。
删除一个链同样简单，使用 '-X'或'--delete-chain'选项。为什么是'-X'？嗯，因为所有合适的字母都已经被使用了。
# iptables -X test
有几个删除链的限制：他们必须是空的（见下面的&Flushing a Chain&）而且他们不能是任何规则的目标。你也不能删除任何一个内建的链。
如果你不指定链名的话，所有可以被删除的用户定义链都将被删除。
这是清除一个链中所有规则的简单方法，使用'-F' 或 '--flush'命令。
# iptables -F FORWARD
如果不指定链的话，所有链都将被清空。
用'-L'或'--list'命令，你可以列出一个链中的所有规则。
用户定义链中的'refcnt'是有多少链的规则指向了它。这个值必须为0，然后才可以删除这个链。
如果链名被忽略，所有链都将被列出，即便是空的。
'-L'可以有三个选项。'-n'(数字）选项对于阻止iptables试图查找IP地址时非常有用，因为（如果你像大多数人一样使用DNS）如果你的DNS设置不太合适的话，可能会造成长时间的停顿，或者你滤掉了DNS请求。它还会让TCP或UDP端口以数字显示。
'-v'选项显示所有规则的细节，包括饱和字节计数器，TOS比较，以及接口。否则这些值是被忽略的。
注意，报和字节计数器可以分别使用'K'、'M'或者'G'来代替,000 和1,000,000,000。使用'-x'（扩展数字）标志来打印整个值，不管它有多大。
可以重置计数器非常有用。可以用'-Z'或'--zero'来完成。
考虑下面的：
# iptables -L FORWARD
# iptables -Z FORWARD
在上述例子中，有些包在'-L'和'-Z'命令之间通过。因此，你可以把'-L'和'-Z'一起使用，读取时就清空计数器。
我们在前面讨论包是如何通过链的时候，已经解释了当包到达内建链的尾部时会发生什么。这时，链的原则就决定包的命运。只有内建的链（INPUT、OUTPUT和FORWARD）有原则，因为如果包到达用户定义链的尾部会返回到前面的链。
原则可以是ACCEPT或DROP，例如：
# iptables -P FORWARD DROP
netflter发布中有ipchains.o和ipfwadm.o模块。把其中一个加载到你的内核（注意：他们和ip_tables.o不兼容）。然后你就可以像以前那样使用ipchains和ipfwadm了。
这在一段时间内仍然被支持。我认为合理的计算方式是 2*(替代发布 - 初始的稳定版本），超过了这个时间，就应当使用替代的稳定版本了。这意味着在Linux 2.6或2.8中对它们的支持很可能被放弃。
想要做网络地址转换（参见NAT HowTo)和包过滤的已很常见。好消息是他们可以混合起来使用的，而且工作得非常好。
你可以完全忽略你的NAT，来定义你的包过滤。包过滤看见的包的源及目标是“真正”的源和目标。例如，如果你将任何发往1.2.3.480端口的包DNAT到10.1.1.1的8080端口。包过滤器看见的是包发往10.1.1.1的8080端口（真正的目的地），而非1.2.3.4的80端口。同样，你可以忽略伪装：看到的是包的真实外部IP地址（如10.1.1.1），而响应的则返回到那里。
你可以使用'state'匹配扩展，使包过滤器不需要做任何额外的工作，因为无论如何，NAT都会要求连接跟踪。扩展NAT HowTo中简单的伪装例子，以禁止任何来自ppp0接口的新的连接，你可以这样：
#对送至ppp0的包进行伪装
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
# 禁止由ppp0进入的新的或不合适的包
iptables -A INPUT -i ppp0 -m state --state NEW,INVALID -j DROP
iptables -A FORWARD -i ppp0 -m state --state NEW,INVALID -j DROP
# 开启IP转发
echo 1 & /proc/sys/net/ipv4/ip_forward
o 首先，内建链的名称从小写改成了大写，因为现在的INPUT和OUTPUT链只获取指向本地和本地生成的包。他们用来检查所有进入和发送的包。
o '-i'标志现在表示进入接口的意思，而且只适用于INPUT和FORWORD链。FORWORD或OUTPUT链中的规则应该将'-i'改为'-o'。
o TCP和UDP端口现在必须用--source-port或--sport（或者--destination-port/--dport）拼写，而且必须放在'-p tcp'或'-p udp'选项之后，因为TCP或UDP扩展是分别加载的。
o TCP -y 标志现在是 --syn，而且必须在'-p tcp'之后。
o DENY目标现在是DROP.
o 对单个链，可以在列出其工作同时清零。
o 清空内建链同时清除了原则计数器。
o 列出链给出的是一个计数器的微型的快照。
o REJECT和LOG现在是扩展目标，意思是他们是独立的内核模块。
o 链的名称最多可以是31个字符。
o MASQ现在是MASQUERADE而且使用不同的语法。REDRIRECT，在保留相同的名字时，也经历了语法的改变。参见NAT-HOWTO以获取配置它们的更多信息。
o -o选项不再用于将包传递给用户空间设备了（见上面的-i）。现在通过 QUEUE目标传递到用户空间。
o 很可能还有一些我也忘了。
在计算机安全领域中，最明智的办法是阻挡所有东西，然后对需要的开启。这通常称为“凡是没有明确允许的都是禁止的”。我建议这样做如果安全是你最关心的。
不要运行任何你不需要的服务，即使你认为你已经阻碍了对它们的访问。
如果你创建专用防火墙，开始时不运行任何东西，并阻止所有包，然后添加服务并让需要的包通过。
我强调安全：结合tcp-wrappers（对于包过滤器本身的连接），代理（通过包过滤器的连接），路由验证和包过滤。路由验证是如果包来自未预期的接口那么将被删除：例如，如果你的内部网络地址是10.1.1.0/24，而一个包的源地址是你的外部接口，那么它将被丢弃。对一个接口如ppp0来说可以这样：
# echo 1 & /proc/sys/net/ipv4/conf/ppp0/rp_filter
或者对所有已有的或将有的接口：
# for f in /proc/sys/net/ipv4/conf/*/rp_ do
# echo 1 & $f
Debian在可能的范围了将这些设为默认。如果你使用非对称路由（如你期望包来自一个其他的方向），你可能需要在这些接口上禁止这一过滤。
记录对于当工作不正常时设置防火墙非常有用，但是在一个作为产品的防火墙上，总是应当将它与'limit'匹配结合，以防止有人充斥你的记录。
我极力推荐对安全系统使用连接追踪：它虽然会造成负担，因为所有连接都被追踪。但是对于控制对你的网络的访问非常有用。如果你的内核没有自动加载而且没有内建，你需要加载'ip_conntrack.o'这个模块。如果想要精确追踪复杂的协议，你需要加载合适的相关模块（如'ip_conntrack_ftp.o'）。
# iptables -N no-conns-from-ppp0
# iptables -A no-conns-from-ppp0 -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -A no-conns-from-ppp0 -m state --state NEW -i ! ppp0 -j ACCEPT
# iptables -A no-conns-from-ppp0 -i ppp0 -m limit -j LOG --log-prefix &Bad packet from ppp0:&
# iptables -A no-conns-from-ppp0 -i ! ppp0 -m limit -j LOG --log-prefix &Bad packet not from ppp0:&
# iptables -A no-conns-from-ppp0 -j DROP
# iptables -A INPUT -j no-conns-from-ppp0
# iptables -A FORWARD -j no-conns-from-ppp0
建造一个好的防火墙超越了这个HOWTO的范围，不过我的建议是“一切从严”。请参见Security HOWTO获取更多信息，来测试和探索你的服务器。
all pages ended here.
级别: 初级
, 软件工程师, IBM
2003 年 9 月 01 日
调试内核问题时，能够跟踪内核执行情况并查看其内存和数据结构是非常有用的。Linux 中的内置内核调试器 KDB提供了这种功能。在本文中您将了解如何使用 KDB 所提供的功能，以及如何在 Linux 机器上安装和设置 KDB。您还将熟悉 KDB中可以使用的命令以及设置和显示选项。
Linux 内核调试器（KDB）允许您调试 Linux 内核。这个恰如其名的工具实质上是内核代码的补丁，它允许高手访问内核内存和数据结构。KDB 的主要优点之一就是它不需要用另一台机器进行调试：您可以调试正在运行的内核。
设置一台用于 KDB 的机器需要花费一些工作，因为需要给内核打补丁并进行重新编译。KDB 的用户应当熟悉 Linux 内核的编译（在一定程度上还要熟悉内核内部机理），但是如果您需要编译内核方面的帮助，请参阅本文结尾处的
在本文中，我们将从有关下载 KDB 补丁、打补丁、（重新）编译内核以及启动 KDB 方面的信息着手。然后我们将了解 KDB 命令并研究一些较常用的命令。最后，我们将研究一下有关设置和显示选项方面的一些详细信息。
KDB 项目是由 Silicon Graphics 维护的（请参阅 以获取链接），您需要从它的 下载与内核版本有关的补丁。（在编写本文时）可用的最新 KDB 版本是4.2。您将需要下载并应用两个补丁。一个是“公共的”补丁，包含了对通用内核代码的更改，另一个是特定于体系结构的补丁。补丁可作为 bz2文件获取。例如，在运行 2.4.20 内核的 x86 机器上，您会需要 kdb-v4.2-2.4.20-common-1.bz2 和kdb-v4.2-2.4.20-i386-1.bz2。
这里所提供的所有示例都是针对 i386 体系结构和 2.4.20 内核的。您将需要根据您的机器和内核版本进行适当的更改。您还需要拥有 root 许可权以执行这些操作。
将文件复制到 /usr/src/linux 目录中并从用 bzip2 压缩的文件解压缩补丁文件：
#bzip2 -d kdb-v4.2-2.4.20-common-1.bz2
#bzip2 -d kdb-v4.2-2.4.20-i386-1.bz2
您将获得 kdb-v4.2-2.4.20-common-1 和 kdb-v4.2-2.4-i386-1 文件。
现在，应用这些补丁：
#patch -p1 &kdb-v4.2-2.4.20-common-1
#patch -p1 &kdb-v4.2-2.4.20-i386-1
这些补丁应该干净利落地加以应用。查找任何以 .rej 结尾的文件。这个扩展名表明这些是失败的补丁。如果内核树没问题，那么补丁的应用就不会有任何问题。
接下来，需要构建内核以支持 KDB。第一步是设置 CONFIG_KDB 选项。使用您喜欢的配置机制（xconfig 和 menuconfig 等）来完成这一步。转到结尾处的“Kernel hacking”部分并选择“Built-in Kernel Debugger support”选项。
您还可以根据自己的偏好选择其它两个选项。选择“Compile the kernel with frame pointers”选项（如果有的话）则设置
CONFIG_FRAME_POINTER 标志。这将产生更好的堆栈回溯，因为帧指针寄存器被用作帧指针而不是通用寄存器。您还可以选择“KDB off by default”选项。这将设置
CONFIG_KDB_OFF 标志，并且在缺省情况下将关闭 KDB。我们将在后面一节中对此进行详细介绍。
保存配置，然后退出。重新编译内核。建议在构建内核之前执行“make clean”。用常用方式安装内核并引导它。
您可以定义将在 KDB 初始化期间执行的 KDB 命令。需要在纯文本文件 kdb_cmds 中定义这些命令，该文件位于 Linux源代码树（当然是在打了补丁之后）的 KDB目录中。该文件还可以用来定义设置显示和打印选项的环境变量。文件开头的注释提供了编辑文件方面的帮助。使用这个文件的缺点是，在您更改了文件之后需要重新构建并重新安装内核。
如果编译期间没有选中 CONFIG_KDB_OFF ，那么在缺省情况下 KDB 是活动的。否则，您需要显式地激活它 － 通过在引导期间将
kdb=on 标志传递给内核或者通过在挂装了 /proc 之后执行该工作：
#echo &1& &/proc/sys/kernel/kdb
倒过来执行上述步骤则会取消激活 KDB。也就是说，如果缺省情况下 KDB 是打开的，那么将 kdb=off 标志传递给内核或者执行下面这个操作将会取消激活 KDB：
#echo &0& &/proc/sys/kernel/kdb
在引导期间还可以将另一个标志传递给内核。 kdb=early 标志将导致在引导过程的初始阶段就把控制权传递给 KDB。如果您需要在引导过程初始阶段进行调试，那么这将有所帮助。
调用 KDB 的方式有很多。如果 KDB 处于打开状态，那么只要内核中有紧急情况就自动调用它。按下键盘上的 PAUSE 键将手工调用 KDB。调用 KDB 的另一种方式是通过串行控制台。当然，要做到这一点，需要设置串行控制台（请参阅
以获取这方面的帮助）并且需要一个从串行控制台进行读取的程序。按键序列 Ctrl-A 将从串行控制台调用 KDB。
KDB 是一个功能非常强大的工具，它允许进行几个操作，比如内存和寄存器修改、应用断点和堆栈跟踪。根据这些，可以将 KDB 命令分成几个类别。下面是有关每一类中最常用命令的详细信息。
这一类别中最常用的命令是 md 、 mdr 、 mm 和 mmW 。
md 命令以一个地址／符号和行计数为参数，显示从该地址开始的 line-count 行的内存。如果没有指定
line-count ，那么就使用环境变量所指定的缺省值。如果没有指定地址，那么 md 就从上一次打印的地址继续。地址打印在开头，字符转换打印在结尾。
mdr 命令带有地址／符号以及字节计数，显示从指定的地址开始的 byte-count 字节数的初始内存内容。它本质上和
md 一样，但是它不显示起始地址并且不在结尾显示字符转换。 mdr 命令较少使用。
mm 命令修改内存内容。它以地址／符号和新内容作为参数，用 new-contents 替换地址处的内容。
mmW 命令更改从地址开始的 W 个字节。请注意， mm 更改一个机器字。
[0]kdb& md 0xc
[0]kdb& mm 0xcx10
这一类别中的命令有 rd 、 rm 和 ef 。
rd 命令（不带任何参数）显示处理器寄存器的内容。它可以有选择地带三个参数。如果传递了 c 参数，则
rd 显示处理器的控制寄存器；如果带有 d 参数，那么它就显示调试寄存器；如果带有 u 参数，则显示上一次进入内核的当前任务的寄存器组。
rm 命令修改寄存器的内容。它以寄存器名称和 new-contents 作为参数，用 new-contents 修改寄存器。寄存器名称与特定的体系结构有关。目前，不能修改控制寄存器。
ef 命令以一个地址作为参数，它显示指定地址处的异常帧。
[0]kdb& rd
[0]kdb& rm %ebx 0x25
常用的断点命令有 bp 、 bc 、 bd 、 be 和
bp 命令以一个地址／符号作为参数，它在地址处应用断点。当遇到该断点时则停止执行并将控制权交予 KDB。该命令有几个有用的变体。
bpa 命令对 SMP 系统中的所有处理器应用断点。 bph 命令强制在支持硬件寄存器的系统上使用它。 bpha 命令类似于
bpa 命令，差别在于它强制使用硬件寄存器。
bd 命令禁用特殊断点。它接收断点号作为参数。该命令不是从断点表中除去断点，而只是禁用它。断点号从 0 开始，根据可用性顺序分配给断点。
be 命令启用断点。该命令的参数也是断点号。
bl 命令列出当前的断点集。它包含了启用的和禁用的断点。
bc 命令从断点表中除去断点。它以具体的断点号或 * 作为参数，在后一种情况下它将除去所有断点。
对函数 sys_write() 设置断点：
[0]kdb& bp sys_write
[0]kdb& bl
[0]kdb& bc 1
主要的堆栈跟踪命令有 bt 、 btp 、 btc 和 bta 。
bt 命令设法提供有关当前线程的堆栈的信息。它可以有选择地将堆栈帧地址作为参数。如果没有提供地址，那么它采用当前寄存器来回溯堆栈。否则，它假定所提供的地址是有效的堆栈帧起始地址并设法进行回溯。如果内核编译期间设置了
CONFIG_FRAME_POINTER 选项，那么就用帧指针寄存器来维护堆栈，从而就可以正确地执行堆栈回溯。如果没有设置
CONFIG_FRAME_POINTER ，那么 bt 命令可能会产生错误的结果。
btp 命令将进程标识作为参数，并对这个特定进程进行堆栈回溯。
btc 命令对每个活动 CPU 上正在运行的进程执行堆栈回溯。它从第一个活动 CPU 开始执行 bt ，然后切换到下一个活动 CPU，以此类推。
bta 命令对处于某种特定状态的所有进程执行回溯。若不带任何参数，它就对所有进程执行回溯。可以有选择地将各种参数传递给该命令。将根据参数处理处于特定状态的进程。选项以及相应的状态如下：
D：不可中断状态R：正运行S：可中断休眠T：已跟踪或已停止Z：僵死U：不可运行
这类命令中的每一个都会打印出一大堆信息。请查阅下面的 以获取这些字段的详细文档。
[0]kdb& bt
[0]kdb& btp 575
下面是在内核调试过程中非常有用的其它几个 KDB 命令。
id 命令以一个地址／符号作为参数，它对从该地址开始的指令进行反汇编。环境变量 IDCOUNT 确定要显示多少行输出。
ss 命令单步执行指令然后将控制返回给 KDB。该指令的一个变体是 ssb ，它执行从当前指令指针地址开始的指令（在屏幕上打印指令），直到它遇到将引起分支转移的指令为止。分支转移指令的典型示例有
call 、 return 和 jump 。
go 命令让系统继续正常执行。一直执行到遇到断点为止（如果已应用了一个断点的话）。
reboot 命令立刻重新引导系统。它并没有彻底关闭系统，因此结果是不可预测的。
ll 命令以地址、偏移量和另一个 KDB 命令作为参数。它对链表中的每个元素反复执行作为参数的这个命令。所执行的命令以列表中当前元素的地址作为参数。
[0]kdb& id schedule
[0]kdb& ssb
0xc0105355
default_idle+0x25:
0xc0105356
default_idle+0x26:
0x14(%edx),%eax
0xc0105359
default_idle+0x29:
test %eax, %eax
0xc010535b
default_idle+0x2b:
0xc0105361 default_idle+0x31
调试一个问题涉及到：使用调试器（或任何其它工具）找到问题的根源以及使用源代码来跟踪导致问题的根源。单单使用源代码来确定问题是极其困难的，只有老练的内核黑客才有可能做得到。相反，大多数的新手往往要过多地依靠调试器来修正错误。这种方法可能会产生不正确的问题解决方案。我们担心的是这种方法只会修正表面症状而不能解决真正的问题。此类错误的典型示例是添加错误处理代码以处理 NULL 指针或错误的引用，却没有查出无效引用的真正原因。
结合研究代码和使用调试工具这两种方法是识别和修正问题的最佳方案。
调试器的主要用途是找到错误的位置、确认症状（在某些情况下还有起因）、确定变量的值，以及确定程序是如何出现这种情况的（即，建立调用堆栈）。有经验的黑客会知道对于某种特定的问题应使用哪一个调试器，并且能迅速地根据调试获取必要的信息，然后继续分析代码以识别起因。
因此，这里为您介绍了一些技巧，以便您能使用 KDB 快速地取得上述结果。当然，要记住，调试的速度和精确度来自经验、实践和良好的系统知识（硬件和内核内部机理等）。
在 KDB 中，在提示处输入地址将返回与之最为匹配的符号。这在堆栈分析以及确定全局数据的地址／值和函数地址方面极其有用。同样，输入符号名则返回其虚拟地址。
[0]kdb& 0xc013db4c
0xc013db4c = 0xc013db4c (sys_read)
[0]kdb& sys_write
sys_write = 0xc013dcc8 (sys_write)
这些有助于在分析堆栈时找到全局数据和函数地址。
在编译带 KDB 的内核时，只要 CONFIG_FRAME_POINTER选项出现就使用该