模块中的数据处理.pptVIP

* 广播或多播包的转发 二层地址判断包是否是发给自己的，同时处理广播包和多播包 不是发给自己的包（二层地址不是自己或广播和多播地址）在三层被丢弃 混杂模式在二层处理 * * * * * 专业化、规范化、标准化、电子化 netfilter 模块中的数据处理 编制人：王万顺 版本：v1.0 有计划、有总结、有记录、有审核； * * 专业化、规范化、标准化、电子化 课程定位和目标 本教程主要是对 Netfilter模块中数据处理的代码分析，使大家能够对内核netfilter有更深入的认识，理解表（NAT,FILTER,MANGLE），HOOK挂载点在linux内核网络子系统的具体实现。 * * 专业化、规范化、标准化、电子化 2 1 表 目录 HOOK 3 阅读代码 4 结束 filter表 NF_IP_PRE_ROUTING NF_IP_LOCAL_IN NF_IP_LOCAL_OUT NF_IP_FORWARD NF_IP_POST_ROUTING ROUTE ROUTE 链路层 传输层 网络层 nat表 NF_IP_PRE_ROUTING NF_IP_LOCAL_IN NF_IP_LOCAL_OUT NF_IP_FORWARD NF_IP_POST_ROUTING ROUTE ROUTE 链路层 传输层 网络层 mangle表 NF_IP_PRE_ROUTING NF_IP_LOCAL_IN NF_IP_LOCAL_OUT NF_IP_FORWARD NF_IP_POST_ROUTING ROUTE ROUTE 链路层 传输层 网络层 增加一个table 在内核中增加一个表，注意表所监听的检查点 这个表可以使用哪些match和target，这个表的用途是什么 * * 专业化、规范化、标准化、电子化 2 1 表 目录 HOOK 3 阅读代码 4 结束 nf_hooks[NPROTO][NF_MAX_HOOKS] NPROTO = 32，支持协议族的数量 NF_MAX_HOOKS = 8，支持检查点的数量 检查点上的nf_hook_ops结构，按priority的值，从小到大排列 nf_hook_ops 检查点 struct nf_hook_ops { struct list_head list; nf_hookfn *hook; int pf; int hooknum; int priority; }; unsigned int nf_hookfn(unsigned int hooknum,struct sk_buff **skb,const struct net_device *in,const struct net_device *out, int (*okfn)(struct sk_buff *)); list：链表结构；hook：检查点上调用的函数；pf：协议族；hooknum：检查点的编号；priority：此结构的优先级 nf_register_hook：注册nf_hook_ops结构 nf_unregister_hook：卸载nf_hoop_ops结构 检查点上的数据结构 #define NF_HOOK(pf, hook, skb, indev, outdev, okfn) \ (list_empty(nf_hooks[(pf)][(hook)])\ ? (okfn)(skb)\ : nf_hook_slow((pf), (hook), (skb), (indev), (outdev), (okfn))) NF_HOOK：定义检查点 (okfn)(skb)：如果检查点上没有钩子函数，直接调用这个函数；如果有钩子函数，则先遍历检查点上的钩子函数，并根据钩子函数的返回值来确定下一步的动作；如果钩子函数完全遍历，同样需要调用这个函数 nf_hook_slow：遍历检查点上的nf_hook_ops结构，并调用nf_hookfn 检查点的定义 NF_DROP： 禁止包通过 NF_ACCEPT： 允许包通过 NF_STOLEN： 包被本机缓存 NF_QUEUE： 把包发送到用户空间 NF_REPEAT： 重复上一次遍历过程 NF_HOOK nf_hook_slow nf_hookfn (okfn) 返回值 检查点的调用流程 检查点在PF_INET中的位置 NF_IP_PRE_ROUTING NF_IP_LOCAL_IN NF_IP_LOCAL_OUT NF_IP_FORWARD NF_