Chinaunix

标题: 关于netfilter获取conntrack表项的问题 [打印本页]
作者: chenshko    时间: 2010-12-15 18:04
标题: 关于netfilter获取conntrack表项的问题
内核编译选项关于netfilter的全部选上了
iptable规则，是在pre-routing上加了一条规则链

修改了nfnetlink_queue.c文件
在nfqnl_recv_verdict函数中添加了

    struct nf_conn *ct;
    enum ip_conntrack_info ctinfo;

    ct = nf_ct_get(entry->skb, &ctinfo);//通过skb->nfct获取连接在conntrack表中表项



entry->skb存在（即通过netfilter queue id 从其queue中获得的skb），但是ct为NULL,skb->nfct也为NULL。因此无法获取到conntrack表的表项。

谁遇到过类似的问题，或者对netfilter比较熟悉，能看出其中的问题？

请帮帮小弟我。
作者: Godbach    时间: 2010-12-15 18:28
iptable规则，是在pre-routing上加了一条规则链

说一下详细情况，加在那个表上了
作者: 瀚海书香    时间: 2010-12-15 18:36
回复 1# chenshko
conntrack也是发生在prerouting上，所以说如果你的优先级比conntrack的优先级高的话，那么你的代码就会比conntrack更早调用，而这个时候ct应该就是NULL了。
作者: chenshko    时间: 2010-12-15 19:32
回复 2# Godbach


    在mangle表上
作者: chenshko    时间: 2010-12-15 19:33
本帖最后由 chenshko 于 2010-12-15 19:47 编辑
回复  chenshko
conntrack也是发生在prerouting上，所以说如果你的优先级比conntrack的优先级高的话，那么 ...
瀚海书香 发表于 2010-12-15 18:36



    我试着在forward链上加规则，也是同样的情况。

   在这nfqnl_recv_verdict函数是在用户态返回处理意见以后才被调用。
作者: chenshko    时间: 2010-12-15 19:50
这是规则脚本

  2. TABLE=mangle
  3. function remove_chain(){
  4.     echo -n removing chain...
  5.     {
  6.         /sbin/iptables -t ${TABLE} -D PREROUTING -j NF_QUEUE_CHAIN
  7.         /sbin/iptables -t ${TABLE} -D OUTPUT -j NF_QUEUE_CHAIN
  8.         /sbin/iptables -t ${TABLE} -F NF_QUEUE_CHAIN
  9.         /sbin/iptables -t ${TABLE} -X NF_QUEUE_CHAIN
  10.     } &>/dev/null
  11.     echo done
  12. }
  13. function create_chain(){
  14.     echo -n creating chain...
  15.     /sbin/iptables -t ${TABLE} -N NF_QUEUE_CHAIN
  16.     echo hello
  17.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -p tcp -d 192.168.0.220 -m mark --mark 0 -j NFQUEUE --queue-num 8010
  18.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -p tcp -s 192.168.0.220 -m mark --mark 0 -j NFQUEUE --queue-num 8010
  19.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -j MARK --set-mark 0
  20.     /sbin/iptables -t ${TABLE} -I OUTPUT -j NF_QUEUE_CHAIN
  21.     /sbin/iptables -t ${TABLE} -I PREROUTING -j NF_QUEUE_CHAIN
  22.     echo done
  23. }
  24. function on_iqh(){
  25.     remove_chain
  26.     exit 1
  27. }
  28. trap on_iqh INT QUIT HUP
  29. remove_chain
  30. create_chain
  31. exit 0
  32. ./nf_queue_test 8010
  33. remove_chain

复制代码
作者: goter    时间: 2010-12-16 00:20
看看

  2. static inline struct nf_conn *
  3. resolve_normal_ct(struct net *net,
  4.                   struct sk_buff *skb,
  5.                   unsigned int dataoff,
  6.                   u_int16_t l3num,
  7.                   u_int8_t protonum,
  8.                   struct nf_conntrack_l3proto *l3proto,
  9.                   struct nf_conntrack_l4proto *l4proto,
  10.                   int *set_reply,
  11.                   enum ip_conntrack_info *ctinfo)
  12. {
  13.         struct nf_conntrack_tuple tuple;
  14.         struct nf_conntrack_tuple_hash *h;
  15.         struct nf_conn *ct;

  17.         if (!nf_ct_get_tuple(skb, skb_network_offset(skb),
  18.                              dataoff, l3num, protonum, &tuple, l3proto,
  19.                              l4proto)) {
  20.                 pr_debug("resolve_normal_ct: Can't get tuple\n");
  21.                 return NULL;
  22.         }

  24.         /* look for tuple match */
  25.         h = nf_conntrack_find_get(net, &tuple);
  26.         if (!h) {
  27.                 h = init_conntrack(net, &tuple, l3proto, l4proto, skb, dataoff);
  28.                 if (!h)
  29.                         return NULL;
  30.                 if (IS_ERR(h))
  31.                         return (void *)h;
  32.         }
  33.         ct = nf_ct_tuplehash_to_ctrack(h);

复制代码
作者: chenshko    时间: 2010-12-16 16:43
顶上去~
作者: Godbach    时间: 2010-12-16 16:51
你这样测试一下，单独写一个小模块，取一个 skb 的 ct，看看能否成功
作者: chenshko    时间: 2010-12-16 18:27
谢谢楼上各位，问题解决了~

通过跟内核发现，nf_conntrack_ipv4没有被加载，手动加载进去就好了
作者: Godbach    时间: 2010-12-17 10:07
原来是这样。。。:wink:



欢迎光临 Chinaunix (http://bbs.chinaunix.net/) Powered by Discuz! X3.2