WFP流量转发与监控系统实战：从驱动开发到进程级限速

简介这份资源聚焦Windows平台下的WFP流量转发与流量监控技术面向从事网络管理、安全开发及驱动编程的工程师与学习者帮助其掌握内核级数据包过滤、定向转发与实时流量监测的实现思路。压缩包共155个文件以65个h头文件与52个cpp源文件为核心辅以少量c文件、vcxproj工程配置及sln解决方案文件整体约444KB结构上偏向Visual Studio工程源码便于直接编译研究与二次开发。内容涉及流量采集、数据包处理、连接统计与异常检测等模块可帮助读者理解WFP过滤驱动的组织方式、监控数据的获取路径以及网络管理程序的工程搭建方法。目前已有510人学习关注适合希望深入Windows网络监控与流量转发实践、需要可运行代码参考的开发者作为学习起点。1. 从一份代码.rar说起WFP流量转发与监控到底能干什么如果你手头正好有一份名为“代码.rar_WFP流量转发_wfp_流量监控_流量监控系统_网络监控系统”的资源包大概率你正在做这几件事之一想抓取本机或网关的流量做分析、想把指定进程的流量重定向到另一个端口、或者想搭一套轻量的网络监控系统。这些需求听起来分散底层其实都指向同一个东西——Windows Filtering Platform也就是 WFP。它不是某个第三方抓包工具的私有驱动而是微软从 Vista 开始就内置在网络栈里的过滤框架杀毒软件、防火墙、家长控制、企业级流量审计工具几乎都在用它。这份资源包的价值在于它把 WFP 里最容易被讲得云山雾罩的两块——流量转发和流量监控——拆成了可编译、可调试的代码。你不需要从 WFP 的 ALE 层、Transport 层、Stream 层这些概念开始啃文档而是直接看到一套能跑起来的实现怎么注册 callout 驱动、怎么在 classifyFn 里拿到五元组、怎么把匹配到的包改写成新目标地址再重新注入。适合谁适合已经会写 Windows 内核驱动基础框架、能看懂 WFP 的 FWPS_LAYER 枚举、但卡在“知道概念却拼不出完整链路”的工程师。新手如果连 WDK 都没装过建议先补驱动编译环境否则这份代码会让你在第一个链接错误上耗掉一整天。2. WFP 流量转发的实现骨架从 callout 注册到包重注入2.1 为什么转发要挂在 WFP 而不是 Winsock 层很多人第一反应是用 Winsock 的 LSP 或者 hook connect/send 来做转发但这条路在 64 位系统上越来越窄LSP 被微软标记为废弃hook 用户态 API 又绕不过内核直接发包的进程。WFP 的优势在于它工作在更底层能同时覆盖 TCP、UDP、原始套接字甚至能处理非本机进程发起的流量。转发场景里最关键的层是FWPS_LAYER_ALE_AUTH_CONNECT_V4和FWPS_LAYER_OUTBOUND_TRANSPORT_V4前者在连接建立前给你一次改目标地址的机会后者在包已经成型后让你做 NAT 式的重写。资源包里的转发逻辑主要挂在 ALE_AUTH_CONNECT 层因为在这一层改地址上层应用完全无感知不需要处理序列号重算。选型上还有一个现实原因WFP 的 callout 驱动可以做成纯软件过滤不依赖网卡驱动换机器只要重新安装驱动即可。而基于 NDIS 的转发方案虽然性能更高但和具体网卡绑定太深调试成本翻倍。对于监控系统来说WFP 还能顺便拿到进程 ID这是 NDIS 层很难直接关联的信息。2.2 注册 callout 与 classifyFn 的最小闭环下面这段代码是资源包里转发模块的注册骨架我做了注释补全。它做三件事定义 callout 的 classifyFn、把 callout 注册到 WFP 引擎、把过滤器挂到指定层。// 定义 classifyFnWFP 每匹配到一个包就会回调这里 VOID NTAPI ClassifyFn( const FWPS_INCOMING_VALUES* inFixedValues, const FWPS_INCOMING_METADATA_VALUES* inMetaValues, void* layerData, const void* classifyContext, const FWPS_FILTER* filter, UINT64 flowContext, FWPS_CLASSIFY_OUT* classifyOut) { UINT32 localAddr, remoteAddr; UINT16 remotePort; // 从固定字段里取五元组注意不同层字段索引不同 localAddr inFixedValues-incomingValue[ FWPS_FIELD_ALE_AUTH_CONNECT_V4_IP_LOCAL_ADDRESS].value.uint32; remoteAddr inFixedValues-incomingValue[ FWPS_FIELD_ALE_AUTH_CONNECT_V4_IP_REMOTE_ADDRESS].value.uint32; remotePort inFixedValues-incomingValue[ FWPS_FIELD_ALE_AUTH_CONNECT_V4_IP_REMOTE_PORT].value.uint16; // 命中转发规则把目标改成 127.0.0.1:8080 if (remotePort 80 ShouldRedirect(remoteAddr)) { inFixedValues-incomingValue[ FWPS_FIELD_ALE_AUTH_CONNECT_V4_IP_REMOTE_ADDRESS].value.uint32 htonl(0x7F000001); inFixedValues-incomingValue[ FWPS_FIELD_ALE_AUTH_CONNECT_V4_IP_REMOTE_PORT].value.uint16 htons(8080); classifyOut-actionType FWP_ACTION_PERMIT; return; } classifyOut-actionType FWP_ACTION_CONTINUE; }逻辑说明ClassifyFn是 WFP 的回调入口inFixedValues里装的是当前层可读的字段。转发动作本质上就是修改这些字段的值然后返回FWP_ACTION_PERMIT让连接按新地址继续。参数上要特别注意FWPS_FIELD_ALE_AUTH_CONNECT_V4_IP_REMOTE_ADDRESS这个索引它只在 ALE_AUTH_CONNECT 层有效换到 OUTBOUND_TRANSPORT 层索引名会变写错会直接蓝屏。ShouldRedirect是资源包里自定义的规则匹配函数通常读一个内核态配置表支持按进程名、端口段、目标 IP 段过滤。注册部分用FwpmCalloutAdd0和FwpmFilterAdd0顺序不能反先加 callout 拿到 calloutId再用这个 ID 去构造 filter。资源包里把这两步封装在RegisterRedirectCallout里失败时返回 NTSTATUS驱动入口用DriverEntry判断失败直接返回不加载避免半残状态。2.3 包重注入与校验和修正在 ALE_AUTH_CONNECT 层改地址不需要重算校验和因为包还没生成。但如果你把转发逻辑放到 OUTBOUND_TRANSPORT 层就必须处理 IP 头和 TCP/UDP 头的校验和。资源包里给了一个ReinjectPacket函数核心是调用FwpsInjectNetworkSendAsync0在注入前用FwpsConstructIpHeaderForTransportPacket0重建 IP 头。常见坑是注入的包没有设置FWPS_INJECTION_CONTEXT导致 WFP 再次回调你的 classifyFn形成死循环。解决办法是在 classifyFn 开头判断inMetaValues-isInjected或者用FwpsQueryPacketInjectionState0查状态已注入的包直接放行。3. 流量监控系统的数据采集从五元组到进程关联3.1 监控层选择与字段取舍流量监控系统要回答三个问题谁在发、发去哪、发了多少。WFP 里能同时拿到进程 ID 和五元组的层是FWPS_LAYER_ALE_FLOW_ESTABLISHED_V4这个层在连接建立后触发一次适合做流表记录。资源包的监控模块就挂在这里用inMetaValues-processId拿进程 ID再用FwpsGetFilePathNameFromProcessId反查进程路径。注意这个反查函数在部分 Windows 版本上需要SeDebugPrivilege驱动里要提前启用。字段取舍上不要试图在 classifyFn 里做统计累加因为 classifyFn 运行在 DISPATCH_LEVEL能用的 API 很少。正确做法是把五元组和进程信息通过FwpsAllocateNetBufferAndNetBufferList0拷贝到一个队列交给一个独立的工作线程做统计和上报。资源包里用KSPIN_LOCK保护一个环形缓冲区工作线程每 500ms 排空一次通过FwpsFlowAssociateContext0把流上下文和统计结构绑定。3.2 用户态与内核态的数据通道监控数据最终要落到用户态做展示或入库。资源包提供了两种通道一种是FwpmEngineOpen0配合FwpmNetEventSubscribe0订阅 WFP 自带的 net event优点是代码量少缺点是字段有限、延迟高另一种是自定义的IOCTL通道驱动里创建一个设备对象用户态用DeviceIoControl拉取环形缓冲区数据。第二种更灵活也是资源包默认启用的方式。// 用户态拉取监控数据的 IOCTL 调用示例 HANDLE hDevice CreateFileW( L\\\\.\\WfpMonitor, GENERIC_READ | GENERIC_WRITE, 0, NULL, OPEN_EXISTING, 0, NULL); MONITOR_RECORD records[256]; DWORD bytesReturned 0; BOOL ok DeviceIoControl( hDevice, IOCTL_GET_MONITOR_RECORDS, // 自定义控制码 NULL, 0, records, sizeof(records), bytesReturned, NULL); // bytesReturned / sizeof(MONITOR_RECORD) 就是本次拿到的记录条数逻辑说明IOCTL_GET_MONITOR_RECORDS在驱动里对应一个IRP_MJ_DEVICE_CONTROL处理例程它从环形缓冲区拷贝数据到用户态缓冲区。参数上records数组大小决定单次最大拉取量资源包默认 256 条超过会分多次拉。注意CreateFileW的设备路径要和驱动里IoCreateDevice的名字一致符号链接用IoCreateSymbolicLink创建否则用户态打不开。3.3 流表老化与性能边界监控系统跑久了流表会膨胀。资源包里用了一个简单的老化策略每条流记录最后活跃时间工作线程每轮扫描超过 60 秒没更新的流就删除。这个阈值可以改但不要低于 10 秒否则短连接会被反复创建删除CPU 占用飙升。性能边界方面单驱动实例在普通办公机上能稳定处理 5000 条并发流左右再往上需要把统计逻辑拆到多个工作线程或者改用FWPS_LAYER_STREAM_V4层做流式统计。资源包没有做多线程拆分这是它的一个明确边界别指望拿它直接扛网关级流量。4. 避坑与排查WFP 驱动最容易翻车的五个地方4.1 加载驱动后直接蓝屏错误码 0x000000D1现象sc create注册驱动后sc start立刻蓝屏WinDbg 显示DRIVER_IRQL_NOT_LESS_OR_EQUAL。原因classifyFn 在 DISPATCH_LEVEL 调用了分页内存函数比如ExAllocatePoolWithTag没加NonPagedPool或者访问了用户态指针。解决所有在 classifyFn 里用到的内存必须是非分页的字符串比较用RtlCompareUnicodeString而不是wcsstr配置表用ExAllocatePool2(POOL_FLAG_NON_PAGED, ...)分配。4.2 转发规则不生效但驱动加载正常现象驱动状态 running抓包看目标地址没变。原因过滤器权重weight设得太低被系统自带防火墙规则覆盖。WFP 的过滤器按 weight 排序weight 高的先匹配。解决在FwpmFilterAdd0时把filter-weight设成0xFFFF并且FWP_ACTION_PERMIT之后不要再返回FWP_ACTION_CONTINUE否则会继续走后面的规则。4.3 监控数据里进程 ID 全是 0现象用户态收到的记录 processId 字段恒为 0。原因挂的层不对。FWPS_LAYER_ALE_AUTH_CONNECT_V4层在连接发起时触发此时进程上下文完整但如果挂到FWPS_LAYER_INBOUND_IPPACKET_V4这种更底层的层进程 ID 拿不到。解决确认监控模块挂的是 ALE 层并且inMetaValues-processId字段在FWPS_INCOMING_METADATA_VALUES里确实有效用FWPS_IS_METADATA_FIELD_PRESENT先判断。4.4 卸载驱动时卡死或蓝屏现象sc stop后系统无响应。原因callout 没注销就卸载驱动WFP 引擎还在引用你的 classifyFn。解决在DriverUnload里先调用FwpmFilterDeleteById0删除所有过滤器再FwpmCalloutDeleteById0删除 callout最后FwpmEngineClose0关闭引擎句柄。顺序反了就会卡死。资源包里把这段封装在UnregisterAll里但如果你自己改了过滤器 ID 的存储方式记得同步改。4.5 用户态 IOCTL 返回 ERROR_INVALID_PARAMETER现象DeviceIoControl一直失败GetLastError 返回 87。原因控制码定义时METHOD和ACCESS不匹配或者输入输出缓冲区长度对不上。解决用CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS)定义控制码驱动里用Irp-AssociatedIrp.SystemBuffer读写不要用Irp-UserBuffer。缓冲区长度在IrpSp-Parameters.DeviceIoControl.OutputBufferLength里检查小于预期直接返回STATUS_BUFFER_TOO_SMALL。5. 进阶技巧用 WFP 做进程级流量限速与验证资源包本身没带限速功能但基于它的监控数据加限速是顺理成章的事。思路是在FWPS_LAYER_ALE_FLOW_ESTABLISHED_V4层给每条流分配一个令牌桶classifyFn 里每次匹配到该流的包就扣令牌令牌不足时返回FWP_ACTION_BLOCK。令牌桶的补充由工作线程定时做速率参数从用户态通过 IOCTL 下发。// 令牌桶结构挂在流上下文里 typedef struct _FLOW_THROTTLE { UINT64 tokens; // 当前令牌数 UINT64 lastRefill; // 上次补充时间单位 100ns UINT32 rateBytesPerSec; // 限速值 KSPIN_LOCK lock; } FLOW_THROTTLE; // classifyFn 里扣令牌 KIRQL oldIrql; KeAcquireSpinLock(throttle-lock, oldIrql); RefillTokens(throttle); // 按时间差补充 if (throttle-tokens packetSize) { throttle-tokens - packetSize; classifyOut-actionType FWP_ACTION_PERMIT; } else { classifyOut-actionType FWP_ACTION_BLOCK; } KeReleaseSpinLock(throttle-lock, oldIrql);参数说明rateBytesPerSec是限速值设成 0 表示不限速RefillTokens里用KeQueryInterruptTime拿当前时间和lastRefill做差算出应补充的令牌数注意时间单位是 100 纳秒换算成秒要除以 10^7。packetSize从inFixedValues里取FWPS_FIELD_ALE_FLOW_ESTABLISHED_V4_IP_LOCAL_ADDRESS同层的包长度字段不同层字段名不同。验证限速是否生效别只看用户态统计那个有延迟。我一般用两台机器对拉一台跑资源包驱动并设 1MB/s 限速另一台用iperf3 -c打流看接收端带宽是否稳定在 1MB/s 附近。如果带宽忽高忽低检查令牌桶的锁粒度KSPIN_LOCK在 DISPATCH_LEVEL 下竞争激烈会拖慢包处理可以改成 per-CPU 的令牌桶每个 CPU 独立扣减最后汇总。还有一个容易忽略的点限速只对新建流生效已经建立的流如果没在ALE_FLOW_ESTABLISHED层挂上上下文后续包不会走你的 classifyFn。所以测试前先netstat确认没有残留连接或者干脆重启一次驱动。从那以后我每次改完限速参数都强制走一遍「卸载驱动 → 确认流表清空 → 重新加载 → iperf 打流」的流程不然总会被旧流的缓存数据骗过去。希望帮到你。本文还有配套的精品资源点击获取