网络入侵检测系统之Suricata(二)--运行模式及数据流图

线程模块是对packet处理任务的抽象。线程模块大概有以下几种：
​
1.Receive模块：
收集网络数据包，封装成Packet对象后将其传递给Decode线程模块2.

2.Decode模块：
对Packet按协议4层模型(数据链路层、网络层、传输层、应用层)进行解码，
获取协议和负荷信息，解码完成后将 Packet传递给FlowWorker线程模块。
该模块主要是进行packet解码，不处理应用层。应用层由专门的应用层解码模块处理

3.FlowWorker模块：
对packets进行分配flow，Tcp会话管理，TCP重组，应用层数据解析处理，Detect规则检测

4.Verdict模块：
根据Detect模块检测的结果，对drop标记的包需要做丢弃处理

5.RespondReject模块：
根据detect检测后的结果，对于reject的包需要向双端发送reset包

6.logs模块：
将处理结果记录在日志中。

1.给线程设置一个有意义的名称；
2.将线程绑定到指定CPU核心；
3.创建Packet对象池，用于快速存放网络数据包数据；
4.初始化与该线程关联的线程模块；
5.调用数据包收集模块，启动数据包收集，依次调用各模块处理packet，然后将packet放到输出队列中；
6.如果接收到退出信号，则中止数据包收集，销毁Packet对象池，调用线程模块的退出清理函数；
7.退出线程的执行。

1.给线程设置一个有意义的名称；
2.将线程绑定到指定CPU核心；
3.创建空Packet对象池；
4.初始化与该线程关联的线程模块；
5.从输入队列中获取packet，传递给线程模块依次处理后，放到输出队列中；
6.如果接收到退出信号，则中止数据包收集，销毁Packet对象池，调用线程模块的退出清理函数；
7.退出线程的执行。

typedef struct FlowBucket_ {
 Flow *head; /* 链表头*/
 Flow *tail;/* 链表尾*/
 /* 行锁类型*/
#ifdef FBLOCK_MUTEX
 SCMutex m;
#elif defined FBLOCK_SPIN
 SCSpinlock s;
#else
 #error Enable FBLOCK_SPIN or FBLOCK_MUTEX
#endif
} __attribute__((aligned(CLS))) FlowBucket;
 
 
typedef struct Flow_
{
...
/* 节点锁，提高并发*/
#ifdef FLOWLOCK_RWLOCK
 SCRWLock r;
#elif defined FLOWLOCK_MUTEX
 SCMutex m;
#else
 #error Enable FLOWLOCK_RWLOCK or FLOWLOCK_MUTEX
#endif
...
 /* 由hnext hprev 构成双向链表 */
 /** hash list pointers, protected by fb->s */
 struct Flow_ *hnext; /* hash list */
 struct Flow_ *hprev;
...
} Flow;
​