Фильтр пакетов Android

Android Packet Filter (APF) позволяет платформе управлять логикой аппаратной фильтрации пакетов во время выполнения. Это позволяет системе экономить электроэнергию, отбрасывая пакеты на оборудовании, в то же время позволяя платформе Android изменять правила фильтрации во время выполнения в зависимости от условий сети.

Обзор НПФ

АПФ состоит из двух основных компонентов:

  • Интерпретатор APF работает на сетевом оборудовании (обычно на чипсете Wi-Fi). Интерпретатор APF запускает байт-код APF в пакетах, полученных оборудованием, и решает, принимать ли их, отбрасывать или отвечать на них.
  • Код генерации программы APF выполняется на главном процессоре. Код создает и обновляет программы APF в соответствии с состоянием сети и устройства.

Методы Wi-Fi HAL позволяют платформе Android устанавливать байт-код программы APF и считывать текущие счетчики. Модуль Network Stack Mainline может обновлять байт-код программы APF в любое время во время работы APF.

Реализовано несколько фильтров APF. Например, APF включает в себя фильтры для отбрасывания запрещенных типов Ethernet, фильтрации пакетов объявления маршрутизатора IPv6 (RA), фильтрации многоадресного и широковещательного трафика, если блокировка многоадресной рассылки не удерживается, отбрасывания пакетов DHCP для других хостов и отбрасывания незапрошенного протокола разрешения адресов (ARP). и пакеты обнаружения соседей (ND). Если встроенное ПО поддерживает APFv6, ApfFilter также генерирует правила для ответа на распространенные типы пакетов, которые в противном случае потребовали бы пробуждения ЦП для ответа, например запросы ARP и запросы NS. Полный список фильтров определен в ApfFilter .

Поскольку код создания программы APF является частью модуля Network Stack, вы можете использовать ежемесячные обновления [ Mainline для добавления новых фильтров и обновления логики фильтрации.

редакция НПФ

В следующем списке описана история изменений APF:

  • APFv6: представленная в Android 15, эта версия поддерживает фильтрацию пакетов, включает счетчики для отладки и метрики, а также поддерживает передачу пакетов.
  • APFv4: представленная в Android 10, эта версия поддерживает фильтрацию пакетов и включает счетчики для отладки и метрики.
  • APFv2: представленная в Android 7, эта версия поддерживает фильтрацию пакетов.

Интеграция НПФ

API-интерфейсы APF между интерпретатором APF и оборудованием определены в apf_interpreter.h ( APFv4 , APFv6 ). Код прошивки Wi-Fi вызывает accept_packet() в APFv4 или apf_run() в APFv6, чтобы определить, следует ли отбросить пакет (нулевое возвращаемое значение) или передать его процессору приложения (ненулевое возвращаемое значение). Если пакет необходимо передать, apf_run() также возвращает ноль, поскольку его пакет не нужно передавать в процессор приложения. Если прошивка поддерживает APFv6, она должна реализовать API apf_allocate_buffer() и apf_transmit_buffer() . Интерпретатор APF вызывает эти два API во время логики передачи пакетов. Инструкции APF имеют переменную длину. Каждая инструкция имеет длину не менее 1 байта. Коды инструкций APF определены в apf.h для APFv4 и встроены непосредственно в apf_interpreter.c для APFv6.

APF использует выделенную память. Память используется как для самой программы APF, так и для хранения данных, и память не должна очищаться или записываться чипсетом, кроме как с помощью методов APF HAL. Байт-код APF использует хранилище данных для хранения счетчиков принятых и отброшенных пакетов. Область данных можно прочитать из платформы Android. Инструкции APF эффективно используют память, но для максимизации их потенциала энергосбережения и функциональности требуются сложные правила динамической фильтрации. Эта сложность требует выделенной части памяти чипсета. Минимальное требование к памяти для APFv4 — 1024 байта, а для APFv6 — 2048 байт. Однако мы настоятельно рекомендуем выделить 4096 байт для APFv6, чтобы обеспечить оптимальную производительность. Интерпретатор APF должен быть скомпилирован в прошивку. Интерпретаторы APFv4 и APFv6 оптимизированы по размеру кода. В архитектуре Arm32 скомпилированный интерпретатор APFv4 занимает около 1,8 КБ, тогда как более сложный интерпретатор APFv6 с дополнительными функциями (например, встроенная поддержка контрольной суммы и собственный код распаковки DNS) составляет примерно 4 КБ.

Фильтры APF могут работать вместе с фильтрами других производителей чипсета в рамках встроенного ПО. Поставщики наборов микросхем могут запускать свою логику фильтрации до или после процесса фильтрации APF. Если пакет отброшен до достижения фильтра APF, фильтр APF не обрабатывает пакет.

Чтобы обеспечить правильную работу фильтра APF, когда APF включен, встроенное ПО должно предоставить фильтру APF доступ ко всему пакету, а не только к заголовку, когда APF включен.

Примеры программ НПФ

ApfTest и ApfFilterTest содержат примеры программ тестирования, которые иллюстрируют работу каждого фильтра APF. Чтобы изучить фактическую сгенерированную программу, измените тестовый пример, чтобы напечатать программу в виде шестнадцатеричной строки.

В папке testdata содержатся примеры программ APFv4 для фильтров APF RA. Папка samples содержит утилиты Python, которые создают программы разгрузки APFv6. Более подробную информацию см. в документации к файлам утилит Python.

Отладка АПФ

Чтобы проверить, включен ли APF на устройстве, отобразите текущую программу, покажите текущие счетчики и запустите команду adb shell dumpsys network_stack . Ниже приведен пример этой команды:

adb shell dumpsys network_stack
......
IpClient.wlan0 APF dump:
    Capabilities: ApfCapabilities{version: 4, maxSize: 4096, format: 1}
......
    Last program:
      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
    APF packet counters:
      TOTAL_PACKETS: 469
      PASSED_DHCP: 4
      PASSED_IPV4: 65
      PASSED_IPV6_NON_ICMP: 64
      PASSED_IPV4_UNICAST: 64
      PASSED_IPV6_ICMP: 223
      PASSED_IPV6_UNICAST_NON_ICMP: 6
      PASSED_ARP_UNICAST_REPLY: 4
      PASSED_NON_IP_UNICAST: 1
      DROPPED_RA: 4
      DROPPED_IPV4_BROADCAST_ADDR: 7
      DROPPED_IPV4_BROADCAST_NET: 27

Вывод для этого примера команды adb shell dumpsys network_stack включает следующее:

  • ApfCapabilities{version: 4, maxSize: 4096, format: 1} : это означает, что чипы Wi-Fi поддерживают APF (версия 4).
  • Last program : этот раздел представляет собой последний установленный двоичный файл программы APF в формате шестнадцатеричной строки.
  • APF packet counters . В этом разделе показано, сколько пакетов было передано или отброшено APF, а также указаны конкретные причины.

Чтобы декодировать и дизассемблировать код на удобочитаемый язык ассемблера, используйте инструмент apf_disassembler . Чтобы скомпилировать исполняемый двоичный файл, запустите команду m apf_disassembler . Ниже приведен пример использования инструмента apf_disassembler :

echo "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" | out/host/linux-x86/bin/apf_disassembler
       0: li    r1, -4
       2: lddw  r0, [r1+0]
       3: add   r0, 1
       5: stdw  r0, [r1+0]
       6: ldh   r0, [12]
       8: li    r1, -108
      10: jlt   r0, 0x600, 504
      15: li    r1, -112
      17: jeq   r0, 0x88a2, 504
      22: jeq   r0, 0x88a4, 504
      27: jeq   r0, 0x88b8, 504
      32: jeq   r0, 0x88cd, 504
      37: jeq   r0, 0x88e1, 504
      42: jeq   r0, 0x88e3, 504
      47: jne   r0, 0x806, 116
......

Чтобы проверить результаты APF в автономном режиме, используйте инструмент apf_run . Чтобы скомпилировать исполняемый двоичный файл, запустите команду m apf_run . Инструмент apf_run поддерживает интерпретаторы APFv4 и APFv6.

Ниже приводится руководство по команде apf_run . По умолчанию команда apf_run запускается в интерпретаторе APFv4. Передача аргумента --v6 в apf_run позволяет ему работать с интерпретатором APFv6. Все остальные аргументы могут использоваться как для APFv4, так и для APFv6.

apf_run --help
Usage: apf_run --program <program> --pcap <file>|--packet <packet> [--data <content>] [--age <number>] [--trace]
  --program    APF program, in hex.
  --pcap       Pcap file to run through program.
  --packet     Packet to run through program.
  --data       Data memory contents, in hex.
  --age        Age of program in seconds (default: 0).
  --trace      Enable APF interpreter debug tracing
  --v6         Use APF v6
  -c, --cnt    Print the APF counters
  -h, --help   Show this message.

Вот пример передачи одного пакета в APF, чтобы проверить, можно ли отбросить или передать пакет.

Чтобы предоставить представление необработанного пакета в виде шестнадцатеричной двоичной строки, используйте опцию --packet . Чтобы предоставить шестнадцатеричную двоичную строку области данных, которая используется для хранения счетчика APF , используйте --data option . Поскольку длина каждого счетчика составляет 4 байта, области данных должны быть достаточно длинными, чтобы исключить переполнение буфера.

out/host/linux-x86/bin/apf_run --program 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 --packet 5ebcd79a8f0dc244efaab81408060001080006040002c244efaab814c0a8ca1e5ebcd79a8f0d --data 00000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000
Packet passed
Data: 00000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000100000000000000000000000000000000000000000000000000000000000000000000000000000001

Чтобы сравнить результаты APF с файлом pcap, полученным tcpdump, используйте команду apf_run следующим образом:

out/host/linux-x86/bin/apf_run --program 6bfcb03a01b8120c6b989401df06006b947c01d888a27c01d388a47c01ce88b87c01c988cd7c01c488e17c01bf88e384004408066a0e6bdca401a5000600010800060412147a1e016bd884019900021a1c6b907c01960000686bd4a401820006ffffffffffff6a266bc0a4017b0004c0a82b056bf874017084005f08000a17821f1112149c00181fffab0d2a108211446a3239a20506fabe589435936bf47401470a1e52f06bb07c014200e06bb81a1e7e00000135ffffffff6bb47e0000012ac0a82bff6be868a401160006ffffffffffff6bbc7401176bf074010c7c001086dd686bd0a2fb06ffffffffffff6bcc72fd0a147a0b3a6b9c0a267af1ff6be072e70a366bac7ae6858218886a26a2040fff02000000000000000000000000006ba872cbaa0e82be8eaa0f8c00b7025868a2a40ffabe5894359352a9874d08aa86dd606a12a2792600583afffe80000000000000f7d4e8ccd81ddb43fe80000000000000f8be58fffe94359386006a3aa272024108123c94006b02586a3ea25e0800000000000000006a56a25504030440c01a5a94004e02581a5e94004702586a62a23e04000000006a66a229102409891f9a26ae6d00000000000000006a76a22004190300001a7a94001902586a7ea204102409891f9a26ae6dba98e781ca9ef9ba6bc872086be4b03a01b87206b03a01b87201 --pcap apf.pcap --data 00000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000
37 packets dropped
1733 packets passed
Data: 00000000000000000000000000000000000000000200000005000000000000000000000002000000000000001b000000000000000000000001000000000000000000000000000000000000000000000000000000000000000000000689000000000000003c00000000000000000000000000000000000006ea

Чтобы проверить возможности передачи APFv6, используйте команду apf_run следующим образом:

$ apf_run --program 75001001020304050608060001080006040002AA300E3CAA0FBA06AA09BA07AA08BA086A01BA09120C84006F08066A0EA30206000108000604032B12147A27017A020203301A1C820200032D68A30206FFFFFFFFFFFF020E1A267E000000020A000001032C020B1A267E000000020A000001032CAB24003CCA0606CB0306CB090ACB0306C60A000001CA0606CA1C04AA
0A3A12AA1AAA25FFFF032F020D120C84001708000A1782100612149C00091FFFAB0D2A10820207032A02117C000E86DD68A30206FFFFFFFFFFFF021603190A1482020002187A023A02120A36820285031F8216886A26A2020FFF020000000000000000000000000003200214 --packet FFFFFFFFFFFF112233445566080600010800060400011122334455660A0000020000000000000A0000
01 --data 0000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000
000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000 --age 0 --v6 --trace
      R0       R1       PC  Instruction
-------------------------------------------------
       0        0        0: data        16, 01020304050608060001080006040002
       0        0       19: debugbuf    size=3644
       0        0       23: ldm         r0, m[15]
       0        0       25: stdw        counter=6, r0
       0        0       27: ldm         r0, m[9]
       0        0       29: stdw        counter=7, r0
       0        0       31: ldm         r0, m[8]
 134d811        0       33: stdw        counter=8, r0
 134d811        0       35: li          r0, 1
       1        0       37: stdw        counter=9, r0
       1        0       39: ldh         r0, [12]
     806        0       41: jne         r0, 0x806, 157
     806        0       46: li          r0, 14
       e        0       48: jbseq       r0, 0x6, 59, 000108000604
       e        0       59: ldh         r0, [20]
       1        0       61: jeq         r0, 0x1, 103
       1        0      103: ldw         r0, [38]
 a000001        0      105: jeq         r0, 0xa000001, 116
 a000001        0      116: allocate    60
 a000001        0      120: pktcopy     src=6, len=6
 a000001        0      123: datacopy    src=3, len=6
 a000001        0      126: datacopy    src=9, len=10
 a000001        0      129: datacopy    src=3, len=6
 a000001        0      132: write       0x0a000001
 a000001        0      137: pktcopy     src=6, len=6
 a000001        0      140: pktcopy     src=28, len=4
 a000001        0      143: ldm         r0, m[10]
      2a        0      145: add         r0, 18
      3c        0      147: stm         r0, m[10]
      3c        0      149: transmit    ip_ofs=255
      3c        0      153: drop        counter=47
Packet dropped
Data: 00000000000000000000000001000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000
000000000000000000000000000100000011d8340100000000000000000000000000000000000000000100000078563412
transmitted packet: 112233445566010203040506080600010800060400020102030405060a0000011122334455660a000002000000000000000000000000000000000000

Когда вы используете параметр --trace , инструмент apf_run предоставляет подробный вывод каждого шага выполнения интерпретатора, что полезно для отладки. В этом примере мы вводим пакет запроса ARP в программу APF. Вывод показывает, что запрос ARP отброшен, но генерируется ответный пакет. Подробности этого сгенерированного пакета показаны в разделе transmitted packet .

Общие проблемы интеграции

В этом разделе освещаются несколько распространенных проблем, возникающих при интеграции APF:

  • Неожиданная очистка области данных: память APF должна быть полностью выделена для APF; только код интерпретатора или код платформы (через HAL API) могут изменять область памяти APF.
  • Проблемы при установке программ APF размером X байт (X <= maxLen ): встроенное ПО должно поддерживать чтение или запись любой программы длиной до maxLen без сбоев, сбоев или усечения. Запись не должна изменять какие-либо байты между X и maxLen .
  • Реализация APF в коде драйвера: APF следует реализовывать только внутри прошивки, а не в коде драйвера. В противном случае преимущества энергосбережения не будет, поскольку процессору необходимо проснуться для обработки пакета.
  • Неправильные значения filter_age или filter_age_16384th : значения filter_age (APFv4) и filter_age_16384th (APFv6) должны быть правильно переданы в функции accept_packet() и apf_run() . Подробную информацию о вычислении filter_age_16384th см. в документации apf_interpreter.h .
  • APF не включен, когда требуется: APF необходимо включать, когда экран выключен, а соединение Wi-Fi неактивно или скорость трафика ниже 10 Мбит/с.
  • Усеченные пакеты, передаваемые в accept_packet() или apf_run() : все одноадресные, широковещательные и многоадресные пакеты, передаваемые в accept_packet() или apf_run() должны быть полными. Передача усеченных пакетов в APF недопустима.

НПФ-тесты

Начиная с Android 15, Android предоставляет тестовые примеры CTS как для одного, так и для нескольких устройств для интеграции фильтра APF и интерпретатора APF, чтобы обеспечить правильную функциональность APF. Вот разбивка цели каждого тестового примера:

  • Тест интеграции ApfFilter и apf_interpreter : проверяет, что ApfFilter генерирует правильный байт-код, а apf_interpreter правильно выполняет код для получения ожидаемых результатов.
  • CTS для одного устройства APF : используется одно устройство для проверки функциональности APF на наборе микросхем Wi-Fi. Подтверждает это:
    • APF включается, когда экран включен и трафик Wi-Fi ниже 10 Мбит/с.
    • Возможности APF объявлены правильно.
    • Операции чтения и записи в области памяти APF выполняются успешно, и эта область памяти не изменяется неожиданно.
    • Аргументы передаются правильно в accept_packet() или apf_run() .
    • Прошивка, интегрированная с APFv4/APFv6, может отбрасывать пакеты.
    • Прошивка, интегрированная с APFv6, может отвечать на пакеты.
  • CTS для нескольких устройств APF : используются два устройства (одно отправитель и один получатель) для проверки эффективности фильтрации APF. На стороне отправителя генерируются различные типы пакетов, и тест подтверждает, правильно ли они отброшены, переданы или на них ответили, на основе правил, настроенных в ApfFilter .

Дополнительные инструкции по интеграционному тестированию

Кроме того, мы настоятельно рекомендуем производителям чипсетов включать тестирование APF в свои собственные наборы тестов интеграции Wi-Fi встроенного ПО.

Интеграция тестирования APF в наборы тестов интеграции Wi-Fi встроенного ПО имеет решающее значение для проверки правильности функциональности APF в сложных сценариях подключения Wi-Fi, таких как сценарии включения перед отключением или роумингового подключения Wi-Fi. Подробные инструкции по проведению интеграционных тестов можно найти в следующем разделе.

Предварительные условия

При выполнении интеграционных тестов выполните следующие действия:

  • APF должен быть включен во всех тестовых сценариях интеграции (например, роуминг, включение перед отключением).
  • В начале каждого теста очищайте память APF.
  • Во время теста устанавливайте или переустанавливайте программы APF каждые 5 минут.

Тестовые сценарии

APF должен быть активен во время интеграционных тестов. В этом документе представлены две программы APF, которые можно установить во время тестирования. Программы имеют формат шестнадцатеричной строки, и тестер должен преобразовать шестнадцатеричную строку в двоичную и установить их во встроенное ПО, чтобы программы могли выполняться с помощью apf_interpreter . Во время интеграционного теста тестер должен отправлять пакеты, которые, как ожидается, активируют логику фильтрации в программе 1 и программе 2.

Программа НПФ 1

Когда экран устройства включится, установите программу APF 1 . Эта программа может отбрасывать безобидные пакеты, которые не влияют на функциональность устройства. Эти пакеты используются для проверки правильности фильтрации сетевого трафика APF.

Логика программы 1 APF следующая:

  1. Счетчик удаления и увеличения:
    1. Значения EtherType: 0x88A2 , 0x88A4 , 0x88B8 , 0x88CD , 0x88E1 , 0x88E3
    2. IPv4 DHCP обнаруживает или запрашивает пакеты
    3. RS-пакеты
  2. Счетчик прохождения и увеличения: Все остальные пакеты.

1-байтовые коды программы APF следующие:

6BF0B03A01B86BF8AA0FB86BF4AA09B8120C6BEC7C005D88A27C005888A47C005388B87C004E88CD7C004988E17C004488E3120C84002008001A1A821B001A1E8600000010FFFFFFFF0A17820B11AB0D2A108204436BE8721D120C84000E86DD0A1482093A0A368204856BE072086BDCB03A01B87206B03A01B87201
Программа НПФ 2

Когда экран устройства погаснет, установите программу APF 2 . Эта программа отфильтровывает все пакеты, которые фильтрует программа APF 1 , а также пакеты ping-запросов. Чтобы убедиться, что программа APF 2 установлена ​​правильно, отправьте ping-пакеты на тестируемое устройство.

Логика программы 2 APF следующая:

  1. Счетчик удаления и увеличения:
    1. Значения EtherType: 0x88A2 , 0x88A4 , 0x88B8 , 0x88CD , 0x88E1 , 0x88E3
    2. IPv4 DHCP обнаруживает или запрашивает пакеты
    3. RS-пакеты
  2. Счетчик удаления и увеличения: пакеты запроса проверки связи ICMP
  3. Счетчик прохождения и увеличения: все остальные пакеты.

2-байтовые коды программы APF следующие:

6BF0B03A01B86BF8AA0FB86BF4AA09B8120C6BEC7C007488A27C006F88A47C006A88B87C006588CD7C006088E17C005B88E3120C84002008001A1A821B001A1E8600000010FFFFFFFF0A17820B11AB0D2A108204436BE87234120C84000E86DD0A1482093A0A368204856BE0721F120C84001008000A17820B01AB0D220E8204086BE472086BDCB03A01B87206B03A01B87201
Проверка данных

Чтобы убедиться, что программа APF выполняется и пакеты передаются или отбрасываются правильно, выполните следующие действия:

  • Получайте и проверяйте область данных APF каждые 5 минут.
  • Не очищайте счетчик.
  • Сгенерируйте тестовые пакеты для запуска каждого правила фильтрации.
  • Проверьте приращение счетчика, используя следующие ячейки памяти:

    Имя счетчика Местоположение памяти
    DROPPED_ETHERTYPE_DENYLISTED [АпфРамСизе — 20, АпфРамСизе — 16]
    DROPPED_DHCP_REQUEST_DISCOVERY [АпфРамСизе — 24, АпфРамСизе — 20]
    DROPPED_ICMP4_ECHO_REQUEST [АпфРамСизе — 28, АпфРамСизе — 24]
    DROPPED_RS [АпфРамСизе — 32, АпфРамСизе — 28]
    PASSED_PACKET [АпфРамСизе - 36, АпфРамСизе - 32]

Псевдокод для программы APF 1 и программы APF 2.

Следующий псевдокод подробно объясняет логику программы APF 1 и программы APF 2:

// ethertype filter
If the ethertype in [0x88A2, 0x88A4, 0x88B8, 0x88CD, 0x88E1, 0x88E3]:
    drop packet and increase counter: DROPPED_ETHERTYPE_DENYLISTED

// dhcp discover/request filter
if ethertype != ETH_P_IP:
    skip the filter
if ipv4_src_addr != 0.0.0.0:
    skip the filter
if ipv4_dst_addr != 255.255.255.255
    skip the filter
if not UDP packet:
    skip the filter
if UDP src port is not dhcp request port:
    skip the filter
else:
    drop the packet and increase the counter: DROPPED_DHCP_REQUEST_DISCOVERY

// Router Solicitation filter:
if ethertype != ETH_P_IPV6:
    skip the filter
if not ICMP6 packet:
    skip the filter
if ICMP6 type is not a Router Solicitation:
    skip the filter
else:
    drop the packet and increase the counter: DROPPED_RS

// IPv4 ping filter (only included in Program 2)
if ethertype != ETH_P_IP:
    skip the filter
if it ipv4 protocol is not ICMP:
    skip the filter
if port is not a ping request port
    skip the filter
else:
    drop the packet and increase the counter: DROPPED_ICMP4_ECHO_REQUEST

pass the packet and increase: PASSED_PACKET