IP Filter Hook: Запись данных в файл

[Levvi]

Всем доброго времени суток!
На повестке дня следующая проблема. Необходимо на базе IP Filter-Hook Driver (использует ipfirewall.h) сделать запись содержимого пакетов в файл. Но суть именно вот в чем. Callback-функция, где я могу получить доступ к интересующим меня данным, вызывается на уровне IRQL DISPATCH_LEVEL, где файловые операции запрещены. Разрешены они на PASSIVE.
Вопрос состоит именно в записи в файл. На ум приходит несколько вариантов решения проблемы. 1. Отдельный поток и разделяемый общий буфер данных, например, список (есть станд. структура в ядре). 2. Вообще писать в файл из пользовательского приложения, создать что-то типа разделяемой памяти. IOCTL тут не прокатывает, т.к. пакеты приходят случайно, а механизм этот блокирующий.
Главное: это все пока только версии, попытки реализации пока успехом не увенчались. Кто может подсказать или навести на полезные примеры в данной области, тому буду очень благодарен. Может есть более эффективный вариант решения вопроса. Заранее спасибо.

[resource]

Вообще писать в файл из пользовательского приложения

Я бы так и сделал.

IOCTL тут не прокатывает

Почему?

т.к. пакеты приходят случайно, а механизм этот блокирующий

Что он блокирует?

[Levvi]

IOCTL тут не прокатывает

Почему?

Ну вроде как логика получается такая. Отправляю я IOCTL. В драйвере идет обработка в функции, указываемой MajorFunction[IRP_MJ_DEVICE_CONTROL], там все идет на PASSIVE_LEVEL, мне же нужно добраться к буферу, обрабатываемому на более высоком IRQL.
PS: К тому же, видимо, в любом случае придется вдобавок исопльзовать что-то типа очереди, так как при приходе каждого нового пакета буфер затирается, а скорость прихода пакетов может быть выше скорости обработки данных

т.к. пакеты приходят случайно, а механизм этот блокирующий

Что он блокирует?

Ну блокирующим я назвал этот механизм в том смысле, что по умолчанию пока запрос не будет полностью выполнен, функция DeviceIoControl полностью не отработает вроде, т.е. в выходном буфере не окажутся нужные данные. Ведь так? Но тут хотя есть немалая поправка. Рассматривается статус IRP_PENDING. Но это не сюда.

[resource]

там все идет на PASSIVE_LEVEL, мне же нужно добраться к буферу, обрабатываемому на более высоком IRQL.

Так можно же повысить свой IRQL. Вообще стоит ознакомиться с такой вещью как SpinLock, это решит проблему полностью (включая блокировку буфера).

PS: К тому же, видимо, в любом случае придется вдобавок исопльзовать что-то типа очереди

Ну типа того. Я всегда использую двусвязный список.

[x64]

Господа, не используйте IP Filter Driver, Firewall Hooks и т.п. IP Filter Driver был реализован для системного фаервола и подразумевается, что драйвер, использующий этот механизм фильтрации, в системе всего один. Firewall Hooks устарели, начиная с Windows XP:

Firewall-Hook Drivers
It is not recommended to implement a firewall-hook driver (or firewall driver) for Microsoft Windows XP and later versions of the operating system.

Пишите TDI/WFP-фильтр, проблем будет меньше.

[resource]

Согласен. Да и IP Filter это вообще несерьезное что-то. Таким даже в учебных целях неохото было бы заниматься. Просто смысла нет.