目录
1 连接跟踪子系统钩子函数概述
1.1 数据包流向
1.1.1 发往本地的数据
1.1.2 本地转发的数据
1.1.3 本机发出的数据
2 数据包重组 ipv4_conntrack_defrag()
2.1 nf_ct_ipv4_gather_frags()
3 ipv4_conntrack_in()
3.1 nf_conntrack_in()【核心中的核心】
4 ipv4_conntrack_local()
4.1 nf_conntrack_in()
5 ipv4_conntrack_help()/ipv4_helper()
6 连接确认 ipv4_confirm()
6.1 nf_conntrack_confirm()【核心】
1 连接跟踪子系统钩子函数概述
如《linux内核协议栈 netfilter 之 ip 层的 hook 注册概述以及 hook 的调用场景》中的1.4小结所述&＃xff0c;为了支持连接跟踪子系统&＃xff0c;AF_INET协议族在4个HOOK点共注册了8个钩子函数&＃xff0c;每个HOOK点有两个。这些钩子函数可分为入口&＃xff08;PRE_ROUTING和LOCAL_IN&＃xff09;和出口&＃xff08;LOCAL_OUT和POST_ROUTING&＃xff09;两大类。
1.1 数据包流向
在分析之前&＃xff0c;我们再次回顾一下数据包在连接跟踪模块中的走向。
1.1.1 发往本地的数据
对于连接跟踪来说&＃xff0c;只在hook点NF_IP_PRE_ROUTING、NF_IP_LOCAL_IN两个hook点进入到连接跟踪模块&＃xff0c;按优先级顺序&＃xff0c;依次调用
ipv4_conntrack_defrag->ipv4_conntrack_in->ipv4_conntrack_help->ipv4_confirm&＃xff0c;其中ipv4_conntrack_defrag主要是对分段数据包进行重组操作&＃xff1b;接着调用ipv4_conntrack_in为数据包的nfct指针进行赋值以及更新连接跟踪项的状态等&＃xff1b;然后调用ipv4_conntrack_help [高版本改为ipv4_help] 执行数据包对应的连接跟踪项的helper指针&＃xff0c;实现创建期望连接或者ALG等功能&＃xff1b;最后调用ipv4_confirm将一个未确认的连接跟踪项进行确认操作&＃xff0c;并加入确认链表中。
1.1.2 本地转发的数据
对于连接跟踪来说&＃xff0c;只在hook点NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING两个hook点进入到连接跟踪模块&＃xff0c;按优先级顺序&＃xff0c;依次调用
ipv4_conntrack_defrag->ipv4_conntrack_in->ipv4_conntrack_help [高版本改为ipv4_help] ->ipv4_confirm&＃xff0c;我们发现调用的函数与发往本机的数据包调用的函数及顺序是一样的。
1.1.3 本机发出的数据
对于连接跟踪来说&＃xff0c;只在hook点NF_IP_LOCAL、NF_IP_POST_ROUTING两个hook点进入到连接跟踪模块&＃xff0c;按优先级顺序&＃xff0c;依次调用
ipv4_conntrack_defrag->ipv4_conntrack_local->ipv4_conntrack_help [高版本改为ipv4_help] ->ipv4_confirm&＃xff0c;我们发现调用的函数与发往本机的数据包调用的函数及顺序相比&＃xff0c;只有ipv4_conntrack_local与ipv4_conntrack_in不一样&＃xff0c;相比于ipv4_conntrack_in&＃xff0c;ipv4_conntrack_local增加了对数据包大小的判断。
2 数据包重组 ipv4_conntrack_defrag()
连接跟踪子系统的两个入口处&＃xff08;PRE_ROUTING和LOCAL_IN&＃xff09;都注册了该钩子函数。ipv4_conntrack_defrag()完成的工作就是重组IP报文&＃xff0c;该钩子函数以较高优先级工作在连接跟踪子系统的入口处&＃xff0c;这样可以保证连接跟踪子系统后面见到的报文都是完整的IP报文&＃xff0c;也就是说连接跟踪子系统不处理IP分片。
static unsigned int ipv4_conntrack_defrag(unsigned int hooknum,struct sk_buff *skb,const struct net_device *in,const struct net_device *out,int (*okfn)(struct sk_buff *))
{struct sock *sk &＃61; skb->sk;struct inet_sock *inet &＃61; inet_sk(skb->sk);if (sk && (sk->sk_family &＃61;&＃61; PF_INET) &&inet->nodefrag)return NF_ACCEPT;#if defined(CONFIG_NF_CONNTRACK) || defined(CONFIG_NF_CONNTRACK_MODULE)
#if !defined(CONFIG_NF_NAT) && !defined(CONFIG_NF_NAT_MODULE)/* Previously seen (loopback)? Ignore. Do this beforefragment check. *///对于loopback这样的环回设备&＃xff0c;连接跟踪模块在LOCAL_OUT点已经处理过了该skb if (skb->nfct && !nf_ct_is_template((struct nf_conn *)skb->nfct))return NF_ACCEPT;
#endif
#endif/* Gather fragments. *///输入的skb是一个IP报文的分片if (ip_is_fragment(ip_hdr(skb))) {//尝试将skb和已缓存skb进行IP片段重组enum ip_defrag_users user &＃61; nf_ct_defrag_user(hooknum, skb);if (nf_ct_ipv4_gather_frags(skb, user))//重组失败&＃xff0c;给Netfilter框架返回NF_STOLEN&＃xff0c;表示该skb被钩子内部消耗了&＃xff0c;//无需协议族进一步处理&＃xff0c;这会导致Netfilter框架结束整个HOOK点的遍历return NF_STOLEN;}//skb是一个完整的IP报文或者重组成功&＃xff0c;返回NF_ACCEPTreturn NF_ACCEPT;
}
2.1 nf_ct_ipv4_gather_frags()
调用 ip_defrag() 函数实现分段重组的
/* Returns new sk_buff, or NULL */
static int nf_ct_ipv4_gather_frags(struct sk_buff *skb, u_int32_t user)
{int err;skb_orphan(skb);local_bh_disable();err &＃61; ip_defrag(skb, user);local_bh_enable();if (!err)ip_send_check(ip_hdr(skb));return err;
}
3 ipv4_conntrack_in()
该钩子函数是连接跟踪子系统在 PRE_ROUTING 处注册的第二个钩子&＃xff0c;它的优先级比 ipv4_conntrack_defrag() 低&＃xff0c;它将完成AF_INET协议族数据包在连接跟踪子系统入口处要做的所有事情。该函数只是简单的调用nf_conntrack_in()实现创建连接跟踪项。
- ①当是一个新的数据包时&＃xff0c;则为该数据包创建对应的连接跟踪项,创建成果后进入 ③
- ②当已经为传递过来的数据包创建了连接跟踪项&＃xff0c;则进入c
- ③更新连接跟踪项的状态
- ④为数据包的nfct指针赋值
static unsigned int ipv4_conntrack_in(unsigned int hooknum, struct sk_buff *skb,const struct net_device *in, const struct net_device *out, int (*okfn)(struct sk_buff *))
{//调用连接跟踪子系统框架的输入处理接口return nf_conntrack_in(PF_INET, hooknum, skb);
}
3.1 nf_conntrack_in()【核心中的核心】
这里要做的事情简单来说就是对该数据包进行跟踪&＃xff0c;使其属于某个“连接”。参见xxxxx。
同 3.1 小结一样
5 ipv4_conntrack_help()/ipv4_helper()
该钩子函数是连接跟踪子系统在出口处注册的第一个钩子函数&＃xff0c;两个出口 LOCAL_OUT 和 POST_ROUTING 都注册了该钩子。这个函数还是比较简单的&＃xff0c;首先根据传入的数据包&＃xff1b;然后找到该数据包对应的数据连接跟踪项&＃xff1b;接着若该数据连接跟踪项的 helper 指针不为空&＃xff0c;则调用该helper结构对应的help函数&＃xff0c;实现创建期望连接或者相关协议的ALG功能&＃xff08;即对应用层协议中的数据部分如果有ip地址&＃xff0c;且该数据连接跟踪项对应的数据流有开启NAT机制时&＃xff0c;则将应用层协议中的数据部分的ip地址也进行NAT操作&＃xff09;。
static unsigned int ipv4_conntrack_help(unsigned int hooknum, struct sk_buff *skb,const struct net_device *in, const struct net_device *out, int (*okfn)(struct sk_buff *))
{struct nf_conn *ct;enum ip_conntrack_info ctinfo;const struct nf_conn_help *help;const struct nf_conntrack_helper *helper;//在入口处&＃xff0c;skb应该已经找到了它的连接跟踪信息块ct &＃61; nf_ct_get(skb, &ctinfo);//没有ct&＃xff0c;说明该skb没有被跟踪或者不属于任何一个连接。或者skb属于一个期望连接。//这两种情况&＃xff0c;不会对该skb执行help()回调if (!ct || ctinfo &＃61;&＃61; IP_CT_RELATED &＃43; IP_CT_IS_REPLY)return NF_ACCEPT;//获取skb的help信息&＃xff0c;该信息在连接跟踪的入口处就已经指定了(如果有的话)help &＃61; nfct_help(ct);if (!help)return NF_ACCEPT;/* rcu_read_lock()ed by nf_hook_slow */helper &＃61; rcu_dereference(help->helper);if (!helper)return NF_ACCEPT;//执行help()回调&＃xff0c;回调函数的返回值将作为给Netfilter框架的返回值//该3函数用来创建期望连接或者对数据包的应用层携带的ip地址信息进行nat操作return helper->help(skb, skb_network_offset(skb) &＃43; ip_hdrlen(skb), ct, ctinfo);
}
从实现上可以看出&＃xff0c;help()回调是可选的&＃xff0c;可以有也可以没有。关于连接跟踪子系统给的helper机制&＃xff0c;参见xxxxx。
京公网安备 11010802041100号