Linux系统PF_KEY接口在OpeD内核中的实现方案

PF_KEY协议是IPSec的重要组成部分。密钥管理进程利用PF_KEY与内核的SADB进行通信，实现SA（Security Association，安全联盟）和SP（Security Policy，安全策略）的管理。本文将从PF_KEY协议构造和PF_KEY相关系统调用等方面描述OpenBSD内核中的PF_KEY实现。

利用IPSec技术可在IP层实现对数据包进行保护，降低了互联网通信的风险。IPsec的安全服务是由通信双方建立的安全联盟（SA）来提供的。IPsec系统在处理输入/输出IP 流时必须参考安全策略库（SPD），并根据从SPD中提取的策略对IP流进行不同的处理，例如拒绝、绕过和进行IPsec保护。SA和SPD的管理是利用PF_key API来实现用户进程和内核之间的通信，可以通过手工进行，也可以通过IKE来进行动态协商。

PF_KEY是用户进程操作内核中的SADB（Security Associations Database）和SPD的编程接口。下面将从协议族构造、系统调用和PF_KEY socket实现三部分加以描述。

协议族构造

Net/3组把协议关联到一个域中，并且用一个协议族常量来标识每个域。在OpenBSD定义的域包含以下的四个，分别是路由协议族、IP协议族、UNIX协议族和PF_KEY协议族。同时定义了全局指针型变量domains，由它将协议族结构链接在一起。

初始化完成后，内核构建了图1所示的数据结构。pfkey_domain定义的协议族为PF_KEY，Socket地址为PF_KEY。

在PF_KEY协议初始化过程中，系统还定义了指针数组，用于指向含有Socket操作函数的不同版本pfkey_version结构。pfkey_version结构定义在sys/net/pfkeyv2.h文件中。

目前OpenBSD实现的PF_KEY版本是2.0，该指针数组结构定义如下：

struct pfkey_version

{ int protocol;

int （*create）（struct socket socket）;

int （*release）（struct socket *socket）;

int （*send）（struct socket *socket， void *message， int len）;

} = { PFKEYV2_PROTOCOL，&pfkeyv2_create， &pfkeyv2_release， &pfkeyv2_send };

PF_KEY socket实现

PF_KEY socket系统调用

当一个应用调用Socket时，进程用系统调用机制将三个独立的整数传给内核。syscall将参数复制到32bit值的数组中，并将数组指针作为第二个参数传给Socket的内核版。内核版的Socket将第二个参数“uap”作为指向sys_socket_args结构的指针。

当进程调用socket（PF_KEY，SOCK_RAW， PF_KEY_V2）时，内核sys_socket（）向PF_KEY协议中pfkey_protosw（见图1）定义的pfkey_usrreq（）发送PRU_ATTACH，调用如下：

error=（*prp-》pr_usrreq）（so，PRU_ATTACH，NULL，（struct mbuf *）（long）proto，NULL）；

Pfkey_usrreq（）处理PRU_ATTACH请求，创建协议控制块。

PF_KEY close（）系统调用

内核中sys_close（）对应用户空间的close（）系统调用，用来关闭各类描述符。当fd是引用对象的最后描述符时，与对象有关的close函数被调用如下：

error=（*fp-》f_ops-》fo_close）（fp， p）；

Socket的fp-》f_ops-》fo_close是soo_close（）函数。soo_close（）是soclose（）函数的封装器。soclose（）取消Socket上相关连接并释放不需要的数据结构，发送PRU_DETACH请求断开Socket与PF_KEY协议的联系，最后调用sofree（）释放PF_KEY socket。

error2=（*so-》so_proto-》pr_usrreq）（so， PRU_DETACH， NULL，NULL， NULL）;

Pfkey_usrreq（）响应soclose（）的PRU_DETACH请求，释放该Socket协议控制块，并将该Socket从pfkeyv2_sockets链表中删除。

PF_KEY 读写系统调用

所有的写系统调用都要直接或间接地调用sosend。sosend的功能是将进程来的数据复制到内核，并将数据传递给与插口相关的协议，如下：

error=（*so-》so_proto-》pr_usrreq）（so， PRU_SEND， top， addr， control）;

对于PF_KEY的Socket，pfkey_usrreq（）间接调用pfkey_output（），pfkey_output（）直接调用pfkeyv2_send（）。

所有处理用户消息的工作全部在pfkeyv2_send（）内完成，包括SA的增加、删除、清空和请求操作等。pfkeyv2_send（）通过pfkeyv2_sendup（）将结果放入Socket的接收缓冲区中，并通知用户进程接收缓存已改变。

同写调用一样，用户空间的读调用如read和recv等，都是由内核中的一个公共函数soreceive（）来完成所有的工作。sorecevice（）函数将数据从Socket的接口缓存传送到进程指定的缓存中。

sorecevice是一个复杂的函数，导致其复杂的主要原因是繁琐的指针操作及对多种类型的数据（带外数据、地址、控制信息和正常数据）和多目标（进程缓存和mbuf链）的处理。

结束语

本文主要描述了PF_KEY接口在OpenBSD内核中的实现。通过该接口，可以实现IPSec的SA和SP的自动和手工配置管理。作为IPSec的重要组成部分，SADB和SPD与PF_KEY有着紧密的联系，但本文中没有具体描述。想要深入了解的IPSec的整体实现，阅读源码是比较有效的方法之一。