linux内核netfilter模块分析之：HOOKs点的注册及调用

1: 为什么要写这个东西?
最近在找工作,之前netfilter 这一块的代码也认真地研究过，应该每个人都是这样的你懂 不一定你能很准确的表达出来。 故一定要化些时间把这相关的东西总结一下。

0：相关文档

 linux 下 nf_conntrack_tuple 跟踪记录  其中可以根据内核提供的数据结构获取连接跟踪记录。

 iptables 中的NAT使用总结    iptable的在防火墙上面的应用。

1：iptable中三个tables所挂接的HOOKs

其实这个问题很简单的运行iptables打开看看就知道，此处的hook与内核的hook是对应起来的。



因此在内核中注册的5个HOOK点如下：

enum nf_inet_hooks {
NF_INET_PRE_ROUTING,
NF_INET_LOCAL_IN,
NF_INET_FORWARD,
NF_INET_LOCAL_OUT,
NF_INET_POST_ROUTING,
NF_INET_NUMHOOKS
};

在向下看linux内核中的实现之前在看看一个数据包在进过linux内核中neitfilter的处理过程。

其中这5个HOOK点的执行点说明如下：
数据报从进入系统，进行IP校验以后，首先经过第一个HOOK函数NF_IP_PRE_ROUTING进行处理；
然后就进入路由代码，其决定该数据报是需要转发还是发给本机的；
若该数据报是发被本机的，则该数据经过HOOK函数NF_IP_LOCAL_IN处理以后然后传递给上层协议；
若该数据报应该被转发则它被NF_IP_FORWARD处理；

经过转发的数据报经过最后一个HOOK函数NF_IP_POST_ROUTING处理以后，再传输到网络上。

本地产生的数据经过HOOK函数NF_IP_LOCAL_OUT 处理后，进行路由选择处理，然后经过NF_IP_POST_ROUTING处理后发送出去。




上面的图可以知道，一个数据包在内核中进行的hook的处理点。
2 :proc文件下的跟踪记录

上面的就是连接跟踪记录，其中记录linux系统建立的每一条连接，其中包括源IP，目的IP，源port，目的port，协议ID，其这些可以称为5元组。有关这个在linux内含中的定义是的结构体 struct nf_conn   中的变量 

   /* Connection tracking(链接跟踪)用来跟踪、记录每个链接的信息(目前仅支持IP协议的连接跟踪)。
            每个链接由“tuple”来唯一标识，这里的“tuple”对不同的协议会有不同的含义，例如对tcp,udp
                 来说就是五元组: (源IP，源端口，目的IP, 目的端口，协议号)，对ICMP协议来说是: (源IP, 目
            的IP, id, type, code), 其中id,type与code都是icmp协议的信息。链接跟踪是防火墙实现状态检
            测的基础，很多功能都需要借助链接跟踪才能实现，例如NAT、快速转发、等等。*/

/* XXX should I move this to the tail ? - Y.K */
/* These are my tuples; original and reply */
struct nf_conntrack_tuple_hash tuplehash[IP_CT_DIR_MAX]; 此变量就保存着上面的跟踪记录，


3：hooks点的定义及注册


其中每个不同协议的不同HOOK点最终都会注册到全局的nf_hooks链表变量之中：同时注册到同一个HOOK的处理函数会根据优先级的不同的进行先后处理。

extern struct list_head nf_hooks[NFPROTO_NUMPROTO][NF_MAX_HOOKS];

其中定义的协议如下：

enum {
NFPROTO_UNSPEC =  0,
NFPROTO_IPV4   =  2, //ipV4
NFPROTO_ARP    =  3, //ARP
NFPROTO_BRIDGE =  7, //brigde
NFPROTO_IPV6   = 10,
NFPROTO_DECNET = 12,
NFPROTO_NUMPROTO,
};

NF_MAX_HOOKS 宏的定义已经在前面说明。HOOK点的定义。


与下面的HOOK的struct nf_hook_ops对比一下就可以看到差异：变量pf的值不同，优先级不同，即内核中根据不同的协议类型可以注册不同的挂载点进行不同的优先级数据包的处理。


其注册使用函数为：nf_register_hooks()函数在内核中多个地方出现，因为用户可以根据自己的需要对特定的协议在特定的位置添加HOOK出现函数。


nf_register_hook（）函数的实现就是：

[cpp] view plaincopy
  1. int nf_register_hook(struct nf_hook_ops *reg)  
  2. {  
  3.     struct nf_hook_ops *elem;  
  4.     int err;  
  5.   
  6.     err = mutex_lock_interruptible(&nf_hook_mutex);  
  7.     if (err < 0)  
  8.         return err;遍历已经注册的的HOOK，OPS，将新加入的根据优先级添加到链表最后  
  9.     list_for_each_entry(elem, &nf_hooks[reg->pf][reg->hooknum], list) {  
  10.         if (reg->priority < elem->priority)  
  11.             break;  
  12.     }  
  13.     list_add_rcu(®->list, elem->list.prev);  
  14.     mutex_unlock(&nf_hook_mutex);  
  15.     return 0;  
  16. }  

上面就是HOOK点的注册函数，即根据协议类型和HOOK点注册到全局数组中nf_hooks[][]中。

4：注册的HOOK点何时被使用？

在linux内核中当需要使用注册的HOOK点时，使用函数：

#define NF_HOOK(pf, hook, skb, indev, outdev, okfn) \
NF_HOOK_THRESH(pf, hook, skb, indev, outdev, okfn, INT_MIN)


NF_HOOK->NF_HOOK_THRESH->nf_hook_thresh->nf_hook_slow——这个是最终的执行函数。

先看看下面函数都返回值：

/* Responses from hook functions. */
#define NF_DROP 0
#define NF_ACCEPT 1
#define NF_STOLEN 2
#define NF_QUEUE 3
#define NF_REPEAT 4
#define NF_STOP 5
#define NF_MAX_VERDICT NF_STOP

[cpp] view plaincopy
  1. int nf_hook_slow(u_int8_t pf, unsigned int hook, struct sk_buff *skb,  
  2.          struct net_device *indev,  
  3.          struct net_device *outdev,  
  4.          int (*okfn)(struct sk_buff *),  
  5.          int hook_thresh)  
  6. {  
  7.     struct list_head *elem;  
  8.     unsigned int verdict;  
  9.     int ret = 0;  
  10.   
  11.     /* We may already have this, but read-locks nest anyway */  
  12.     rcu_read_lock();  
  13.   
  14.     elem = &nf_hooks[pf][hook];//是不是很熟悉就是上面的全局变量专门用来注册全局HOOK点的变量。  
  15. next_hook:/* 开始遍历对应的netfilter的规则，即对应的proto和hook挂载点 */  
  16.     verdict = nf_iterate(&nf_hooks[pf][hook], skb, hook, indev,outdev, &elem, okfn, hook_thresh);  
  17.     if (verdict == NF_ACCEPT || verdict == NF_STOP) {  
  18.         ret = 1;  
  19.     } else if (verdict == NF_DROP) {  
  20.         kfree_skb(skb);  
  21.         ret = -EPERM;  
  22.     } else if ((verdict & NF_VERDICT_MASK) == NF_QUEUE) {  
  23.         if (!nf_queue(skb, elem, pf, hook, indev, outdev, okfn,  
  24.                   verdict >> NF_VERDICT_BITS))  
  25.             goto next_hook;  
  26.     }  
  27.     rcu_read_unlock();  
  28.     return ret;  
  29. }  


现在来看看nf_iterate(）函数：

[cpp] view plaincopy
  1. unsigned int nf_iterate(struct list_head *head,  
  2.             struct sk_buff *skb,  
  3.             unsigned int hook,  
  4.             const struct net_device *indev,  
  5.             const struct net_device *outdev,  
  6.             struct list_head **i,  
  7.             int (*okfn)(struct sk_buff *),  
  8.             int hook_thresh)  
  9. {  
  10.     unsigned int verdict;  
  11. //其中head就是全局的2维数组nf_hooks，  
  12.     /* 
  13.      * The caller must not block between calls to this 
  14.      * function because of risk of continuing from deleted element. 
  15.      */  
  16.     list_for_each_continue_rcu(*i, head) {  
  17.         struct nf_hook_ops *elem = (struct nf_hook_ops *)*i;  
  18.   
  19.         if (hook_thresh > elem->priority)  
  20.             continue;  
  21.   
  22.         /* Optimization: we don't need to hold module 
  23.            reference here, since function can't sleep. --RR */  
  24.         verdict = elem->hook(hook, skb, indev, outdev, okfn);//根据协议和HOOK点执行挂在的处理函数  
  25.         if (verdict != NF_ACCEPT) {//返回结果进行判断。  
  26. #ifdef CONFIG_NETFILTER_DEBUG  
  27.             if (unlikely((verdict & NF_VERDICT_MASK)  
  28.                             > NF_MAX_VERDICT)) {  
  29.                 NFDEBUG("Evil return from %p(%u).\n",  
  30.                     elem->hook, hook);  
  31.                 continue;  
  32.             }  
  33. #endif  
  34.             if (verdict != NF_REPEAT)  
  35.                 return verdict;  
  36.             *i = (*i)->prev;  
  37.         }  
  38.     }  
  39.     return NF_ACCEPT;  
  40. }  

对各个返回值的解释如下：

NF_DROP：直接drop掉这个数据包；
NF_ACCEPT：数据包通过了挂载点的所有规则；
NF_STOLEN：这个还未出现，留在以后解释；
NF_QUEUE：将数据包enque到用户空间的enque handler；
NF_REPEAT：为netfilter的一个内部判定结果，需要重复该条规则的判定，直至不为NF_REPEAT；
NF_STOP：数据包通过了挂载点的所有规则。但与NF_ACCEPT不同的一点时，当某条规则的判定结果为NF_STOP，那么可以直接返回结果NF_STOP，无需进行后面的判定了。而NF_ACCEPT需要所以的规则都为ACCEPT，才能返回NF_ACCEPT。

在数据包流经内核协议栈的整个过程中，在内中定义的HOOK中的如：PRE_ROUTING、LOCAL_IN、FORWARD、LOCAL_OUT和POST_ROUTING会根据数据包的协议簇PF_INET到这些关键点去查找是否注册有钩子函数。如果没有，则直接返回okfn函数指针所指向的函数继续走协议栈；如果有，则调用nf_hook_slow函数，从而进入到Netfilter框架中去进一步调用已注册在该过滤点下的钩子函数，再根据其返回值来确定是否继续执行由函数指针okfn所指向的函数
一个IP数据包的接受过程如下：



本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/384989.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

指定结构体元素的位字段

指定结构体元素的位字段

struct B {char a:4; //a这个成员值占了4bitchar b:2;char c:2; } 占了1个字节 struct B {int a:4; //a这个成员值占了4bitchar b:2;char c:2; } 占了8个字节 控制LED灯的结构体&#xff1a; struct E {char a1:1;char a2:1;char a3:1;char a4:1;char a5:1;char a6:1;char a7:1…
阅读更多...
网络抓包工具 wireshark 入门教程

网络抓包工具 wireshark 入门教程

Wireshark&#xff08;前称Ethereal&#xff09;是一个网络数据包分析软件。网络数据包分析软件的功能是截取网络数据包&#xff0c;并尽可能显示出最为详细的网络数据包数据。Wireshark使用WinPCAP作为接口&#xff0c;直接与网卡进行数据报文交换。网络管理员使用Wireshark来…
阅读更多...
结构体中指针

结构体中指针

结构体中带有指针的情况 #include<stdio.h>struct man {char *name;int age; };int main() {struct man m {"tom",20};printf("name %s, age %d\n",m.name,m.age);return 0; } 运行结果&#xff1a; exbotubuntu:~/wangqinghe/C/20190714$ gcc st…
阅读更多...
python使用opencv提取视频中的每一帧、最后一帧，并存储成图片

python使用opencv提取视频中的每一帧、最后一帧，并存储成图片

提取视频每一帧存储图片 最近在搞视频检测问题&#xff0c;在用到将视频分帧保存为图片时&#xff0c;图片可以保存&#xff0c;但是会出现(-215:Assertion failed) !_img.empty() in function cv::imwrite问题而不能正常运行&#xff0c;在检查代码、检查路径等措施均无果后&…
阅读更多...
结构体参数

结构体参数

结构体作为函数参数&#xff1a; #include<stdio.h> #include<stdlib.h> #include<string.h>struct student {char name[10];int age; };void print_student(struct student s) {printf("name %s,age %d\n",s.name,s.age); } void set_studen…
阅读更多...
线程间通信之eventfd

线程间通信之eventfd

线程间通信之eventfd man手册中的解释&#xff1a; eventfd()创建了一个“eventfd对象”&#xff0c; 通过它能够实现用户态程序间(我觉得这里主要指线程而非进程)的等待/通知机制&#xff0c;以及内核态向用户态通知的机制&#xff08;未考证&#xff09;。 此对象包含了一个…
阅读更多...
【linux 开发】定时器使用setitimer

【linux 开发】定时器使用setitimer

setitimer Linux 为每一个进程提供了 3 个 setitimer 间隔计时器&#xff1a; ITIMER_REAL&#xff1a;减少实际时间&#xff0c;到期的时候发出 SIGALRM 信号。ITIMER_VIRTUAL&#xff1a;减少有效时间 (进程执行的时间)&#xff0c;产生 SIGVTALRM 信号。ITIMER_PROF&#…
阅读更多...
文件操作（写）

文件操作（写）

/*** file.c ***/ #include<stdio.h>int main() {//用写的方式打开一个文件 //w的意思是文件如果不存在&#xff0c;就建立一个文件&#xff0c;如果文件存在就覆盖FILE *p fopen("/home/exbot/wangqinghe/C/20190716/file1.txt","w");fputs(&qu…
阅读更多...
定时器timerfd

定时器timerfd

1.为什么要加入此定时器接口 linux2.6.25版本新增了timerfd这个供用户程序使用的定时接口&#xff0c;这个接口基于文件描述符&#xff0c;当超时事件发生时&#xff0c;该文件描述符就变为可读。我首次接触这个新特性是在muduo网络库的定时器里看到的&#xff0c;那么新增一个…
阅读更多...
文件操作（读）

文件操作（读）

读一行&#xff1a; #include<stdio.h> #include<string.h> #include<stdlib.h> const int maxn 10; int main() {char s[1024] {0};FILE *p fopen("/home/exbot/wangqinghe/C/20190716/file.txt","r");//第一个参数是一个内存地址&…
阅读更多...
timerfd与epoll

timerfd与epoll

linux timerfd系列函数总结 网上关于timerfd的文章很多&#xff0c;在这儿归纳总结一下方便以后使用&#xff0c;顺便贴出一个timerfd配合epoll使用的简单例子 一、timerfd系列函数 timerfd是Linux为用户程序提供的一个定时器接口。这个接口基于文件描述符&#xff0c;通过文…
阅读更多...
文件操作（解密加密）

文件操作（解密加密）

文件加密&#xff1a; #include<stdio.h> #include<string.h> #include<stdlib.h>void code(char *s) {while(*s){(*s);s;} }int main() {char s[1024] {0};FILE *p fopen("/home/exbot/wangqinghe/C/20190716/file.txt","r");FILE *p…
阅读更多...
linux僵尸进程产生的原因以及如何避免产生僵尸进程defunct

linux僵尸进程产生的原因以及如何避免产生僵尸进程defunct

给进程设置僵尸状态的目的是维护子进程的信息&#xff0c;以便父进程在以后某个时间获取。这些信息包括子进程的进程ID、终止状态以及资源利用信息(CPU时间&#xff0c;内存使用量等等)。如果一个进程终止&#xff0c;而该进程有子进程处于僵尸状态&#xff0c;那么它的所有僵尸…
阅读更多...
linux下僵尸进程(Defunct进程)的产生与避免

linux下僵尸进程(Defunct进程)的产生与避免

在测试基于 DirectFBGstreamer 的视频联播系统的一个 Demo 的时候&#xff0c;其中大量使用 system 调用的语句&#xff0c;例如在 menu 代码中的 system("./play") &#xff0c;而且多次执行&#xff0c;这种情况下&#xff0c;在 ps -ef 列表中出现了大量的 defunc…
阅读更多...
文件操作函数

文件操作函数

fopen()函数参数&#xff1a; r 只读的方式打开文件。 打开成功返回文件指针&#xff0c; 打开失败返回NULL r 以读写方式打开文件。 文件必须存在 rb 以二进制模式读写文件&#xff0c;文件必须存在 rw 读写一个二进制文件&#xff0c;允许读和写 w 打开只写文件&…
阅读更多...
读过的最好的epoll讲解

读过的最好的epoll讲解

首先我们来定义流的概念&#xff0c;一个流可以是文件&#xff0c;socket&#xff0c;pipe等等可以进行I/O操作的内核对象。 不管是文件&#xff0c;还是套接字&#xff0c;还是管道&#xff0c;我们都可以把他们看作流。 之后我们来讨论I/O的操作&#xff0c;通过read&#xf…
阅读更多...
文件操作函数（读写）

文件操作函数（读写）

文件文本排序&#xff1a; 数组冒泡&#xff1a; #include<stdio.h>void swap(int *a,int *b) {int temp *a;*a *b;*b temp; }void bubble(int *p,int n) {int i;int j;for(i 0; i < n; i){for(j 1; j < n - i; j){if(p[j - 1] > p[j]){swap(&p[j-1],&…
阅读更多...
文件操作（升级）

文件操作（升级）

计算字符串“25 32 ” #include<stdio.h> #include<string.h>int calc_string(char *s) {char buf1[100] {0};char oper 0;char buf2[100] {0};int len strlen(s);int i;for(i 0; i < len; i){if( s[i] || - s[i] || * s[i] || / s[i] ){strncpy…
阅读更多...
C语言指针转换为intptr_t类型

C语言指针转换为intptr_t类型

C语言指针转换为intptr_t类型 1、前言 今天在看代码时&#xff0c;发现将之一个指针赋值给一个intptr_t类型的变量。由于之前没有见过intptr_t这样数据类型&#xff0c;凭感觉认为intptr_t是int类型的指针。感觉很奇怪&#xff0c;为何要将一个指针这样做呢&#xff1f;如是果…
阅读更多...
nginx epoll详解

nginx epoll详解

nginx epoll 事件模型 nginx做为一个异步高效的事件驱动型web服务器&#xff0c;在linux平台中当系统支持epoll时nginx默认采用epoll来高效的处理事件。nginx中使用ngx_event_t结构来表示一个事件&#xff0c;先介绍下ngx_event_t结构体中成员的含义&#xff1a; struct ngx_ev…
阅读更多...
最新文章

Copyright @ 2022~2023