netfilter的conntrack判断，求详解，，，时间紧，，谢谢，，，

raindy1234

static int
match(const struct sk_buff *skb,
      const struct net_device *in,
      const struct net_device *out,
      const struct xt_match *match,
      const void *matchinfo,
      int offset,
      unsigned int protoff,
      int *hotdrop)
{
        const struct xt_conntrack_info *sinfo = matchinfo;
        struct nf_conn *ct;
        enum ip_conntrack_info ctinfo;
        unsigned int statebit;

        ct = nf_ct_get((struct sk_buff *)skb, &ctinfo);

#define FWINV(bool,invflg) ((bool) ^ !!(sinfo->invflags & invflg))

        if (ct == &nf_conntrack_untracked)
                statebit = XT_CONNTRACK_STATE_UNTRACKED;
        else if (ct)
                statebit = XT_CONNTRACK_STATE_BIT(ctinfo);
        else
                statebit = XT_CONNTRACK_STATE_INVALID;

        if(sinfo->flags & XT_CONNTRACK_STATE) {
                if (ct) {
                        if(ct->tuplehash[IP_CT_DIR_ORIGINAL].tuple.src.u3.ip !=
                            ct->tuplehash[IP_CT_DIR_REPLY].tuple.dst.u3.ip)
                                statebit |= XT_CONNTRACK_STATE_SNAT;

                        if(ct->tuplehash[IP_CT_DIR_ORIGINAL].tuple.dst.u3.ip !=
                            ct->tuplehash[IP_CT_DIR_REPLY].tuple.src.u3.ip)
                                statebit |= XT_CONNTRACK_STATE_DNAT;
                }

                if (FWINV((statebit & sinfo->statemask) == 0, XT_CONNTRACK_STATE))
                        return 0;
        }

        if(sinfo->flags & XT_CONNTRACK_PROTO) {
                if (!ct || FWINV(ct->tuplehash[IP_CT_DIR_ORIGINAL].tuple.dst.protonum != sinfo->tuple[IP_CT_DIR_ORIGINAL].dst.protonum, XT_CONNTRACK_PROTO))
                        return 0;
        }

        if(sinfo->flags & XT_CONNTRACK_ORIGSRC) {
                if (!ct || FWINV((ct->tuplehash[IP_CT_DIR_ORIGINAL].tuple.src.u3.ip&sinfo->sipmsk[IP_CT_DIR_ORIGINAL].s_addr) != sinfo->tuple[IP_CT_DIR_ORIGINAL].src.ip, XT_CONNTRACK_ORIGSRC))
                        return 0;
        }

        if(sinfo->flags & XT_CONNTRACK_ORIGDST) {
                if (!ct || FWINV((ct->tuplehash[IP_CT_DIR_ORIGINAL].tuple.dst.u3.ip&sinfo->dipmsk[IP_CT_DIR_ORIGINAL].s_addr) != sinfo->tuple[IP_CT_DIR_ORIGINAL].dst.ip, XT_CONNTRACK_ORIGDST))
                        return 0;
        }

        if(sinfo->flags & XT_CONNTRACK_REPLSRC) {
                if (!ct || FWINV((ct->tuplehash[IP_CT_DIR_REPLY].tuple.src.u3.ip&sinfo->sipmsk[IP_CT_DIR_REPLY].s_addr) != sinfo->tuple[IP_CT_DIR_REPLY].src.ip, XT_CONNTRACK_REPLSRC))
                        return 0;
        }

        if(sinfo->flags & XT_CONNTRACK_REPLDST) {
                if (!ct || FWINV((ct->tuplehash[IP_CT_DIR_REPLY].tuple.dst.u3.ip&sinfo->dipmsk[IP_CT_DIR_REPLY].s_addr) != sinfo->tuple[IP_CT_DIR_REPLY].dst.ip, XT_CONNTRACK_REPLDST))
                        return 0;
        }

        if(sinfo->flags & XT_CONNTRACK_STATUS) {
                if (!ct || FWINV((ct->status & sinfo->statusmask) == 0, XT_CONNTRACK_STATUS))
                        return 0;
        }

        if(sinfo->flags & XT_CONNTRACK_EXPIRES) {
                unsigned long expires;

                if(!ct)
                        return 0;

                expires = timer_pending(&ct->timeout) ? (ct->timeout.expires - jiffies)/HZ : 0;

                if (FWINV(!(expires >= sinfo->expires_min && expires <= sinfo->expires_max), XT_CONNTRACK_EXPIRES))
                        return 0;
        }

        return 1;
}