Вот упрощенная диаграмма пути пакета:

SPL
ip_input()
На выходе со второго уровня пакет попадает в функцию ip_input().

• Проверяется ttl и прочие параметры.
  
• Затем проходит по условиям ALTQ (система приоритезации трафика), если такие назначены.
  
• IPSEC_CAPS(), если назначен перехватчик пакетов ipsec, то пакет будет передан ему, и, если он не вернет пакет, обработка завершится. На выходе демон ipsec положит расшифрованный пакет обратно в начало ip_input(), так что обработка заканчивается.
  
• pfil. Здесь пакет передаётся файрволам в порядке регистрации. То есть, кто первый был загружен, того и тапки. Если в rc.conf первым указан PF, то в него пакет попадёт в первую очередь.
  
• Проверяется назначение пакета. Если назначение пакета — не локальный IP, то он передаётся функции ip_forward(). Либо обработка продолжается.
  
• Проходит попытка сборки (reassemble), если пакет фрагментирован.
  
• Локальный пакет отправляется в IPSEC_INPUT().
  
• Отправка в локальный сокет, если это возможно. Если невозможно — пакет отбрасывается с отправкой обратно icmp error через функцию ip_output().

Надо также отметить, что мультикаст и широковещательный трафик обрабатываются в соответствии с их правилами.
ip_forward()
Здесь происходят различные проверки на возможность отправки.

• Происходит вызов функции обработки ipsec — IPSEC_FORWARD().
  
• Различные проверки. Например, установлен ли параметр net.inet.ip.forwarding в значение 1. Если что-то пошло не так, то отправляется icmp error в функцию ip_output().
  
• Если пакет должен выйти с того же интерфейса, с которого пришел, источнику будет отправлен icmp_redirect, если источник в той же сети.
  
• Декрементится ttl.
  
• Пакет отправляется в ip_output().

ip_output()
Функция подготовки и отправки пакета через сетевой интерфейс.

• Поиск маршрута. Если пакет принадлежит потоку, то маршрут будет взят из кэша маршрутов.
  
• Передача пакета обработчику ipsec — IPSEC_OUTPUT().
  
• pfil — второй вызов файрволов в порядке регистрации.
  
• Проверка, изменилось ли назначение (dst), или таблица маршрутизации (fib) пакета после выхода из файрволов. Если изменилось, то возврат в начало. Однако, второй раз для пакета уже не будут вызваны обработчики файрволов.
  
• При необходимости, происходит попытка фрагментации пакетов.
  
• Пакет передаётся на второй уровень для отправки.

Выводы
Таким образом, на третьем уровне пакет отправляется на обработку файрволлам дважды. Один раз на входе, один раз на выходе. При этом файрвол может как пропустить пакет, так и отбросить его. Или создать новый, например, поменяв источник, и передать его соответствующей функции ядра. Файрволы вообще могут менять любые поля mbuf.
К примеру, в предыдущих статьях мы использовали правила pf с ключевыми словами in и out.

Такие правила будут обрабатываться только при вызове ip_input. Соответственно правила с out — в ip_output.

В сочетании с anchors это позволяет добиться впечатляющей оптимизации даже при большом количестве правил.
Ключевые слова route-to или reply-to поменяют next hop для соответствующих пакетов:

Или укажет необходимость обработки пакета в контексте таблицы маршрутизации опцией rtable:

Заключение
Мы рассмотрели общую схему работы сетевого стэка FreeBSD, это позволит осуществить тонкую настройку и оптимизацию файрвола, избежать различных сюрпризов на этапе эксплуатации, да и просто довольно интересно, на мой взгляд.
Описанные схемы мы применяем для создания нашего ИКСа — универсального шлюза безопасности. Защита сети, прокси, встроенный антивирус, фильтрация контента по спискам Минюста, контроль доступа и учет трафика, VPN для удаленной работы, почта, ftp-, web- и jabber-сервер, IP-телефония… Тестируйте все и сразу, скачав ИКС с официального сайта. Триал 35 дней, есть бесплатная версия на 9 пользователей.
===========
Источник:
habr.com
===========
Похожие новости:

• [Системное администрирование, DevOps, Kubernetes] Стримхата: ломаем яичницу и жарим Кубернетес
  
• [Системное администрирование, PHP, Программирование, Разработка систем связи] Голосовое меню своими руками
  
• [Настройка Linux, Open source, Софт] Пссст, %username%, Ubuntu 21.04 уже здесь
  
• [IT-инфраструктура, Исследования и прогнозы в IT, Нанотехнологии, IT-компании] TSMC — яркий пример успеха в мире ИТ, проект Госдепа, продукт неотвратимой глобализации?
  
• [Платежные системы, IT-инфраструктура, Финансы в IT, IT-компании] «Магнит» начал внедрять в магазинах оплату взглядом
  
• [Системное администрирование, Серверное администрирование] AWS Control Tower и почему мы его не используем
  
• [Информационная безопасность, IT-инфраструктура, Облачные сервисы] Вебинар DataLine «Аудит информационной безопасности компании своими силами» 19 мая
  
• [Системное администрирование, *nix, Серверное администрирование] 5 возможностей systemd, которые нравятся сисадминам (перевод)
  
• [IT-инфраструктура, Беспроводные технологии, Управление проектами] Свершилось: ценники, которые всегда актуальны, пилот на 79 тысяч штук в магазине
  
• [Системное администрирование, PowerShell, Лайфхаки для гиков] Автоматизируем ведение большого количества пользователей в AD

Теги для поиска: #_sistemnoe_administrirovanie (Системное администрирование), #_itinfrastruktura (IT-инфраструктура), #_*nix, #_soft (Софт), #_internet_kontrol_server (интернет контроль сервер), #_iks (икс), #_freebsd, #_pf_firewall, #_blog_kompanii_internet_kontrol_server (
Блог компании Интернет Контроль Сервер
), #_sistemnoe_administrirovanie (
Системное администрирование
), #_itinfrastruktura (
IT-инфраструктура
), #_*nix, #_soft (
Софт
)