关于netfilter获取conntrack表项的问题

chenshko

内核编译选项关于netfilter的全部选上了
iptable规则，是在pre-routing上加了一条规则链

修改了nfnetlink_queue.c文件
在nfqnl_recv_verdict函数中添加了

    struct nf_conn *ct;
    enum ip_conntrack_info ctinfo;

    ct = nf_ct_get(entry->skb, &ctinfo);//通过skb->nfct获取连接在conntrack表中表项



entry->skb存在（即通过netfilter queue id 从其queue中获得的skb），但是ct为NULL,skb->nfct也为NULL。因此无法获取到conntrack表的表项。

谁遇到过类似的问题，或者对netfilter比较熟悉，能看出其中的问题？

请帮帮小弟我。

Godbach

iptable规则，是在pre-routing上加了一条规则链

说一下详细情况，加在那个表上了

瀚海书香

回复 1# chenshko
conntrack也是发生在prerouting上，所以说如果你的优先级比conntrack的优先级高的话，那么你的代码就会比conntrack更早调用，而这个时候ct应该就是NULL了。

chenshko

回复 2# Godbach


    在mangle表上

chenshko

回复  chenshko
conntrack也是发生在prerouting上，所以说如果你的优先级比conntrack的优先级高的话，那么 ...
瀚海书香 发表于 2010-12-15 18:36

    我试着在forward链上加规则，也是同样的情况。

   在这nfqnl_recv_verdict函数是在用户态返回处理意见以后才被调用。

chenshko

这是规则脚本

1. 
   
2. TABLE=mangle
   
3. function remove_chain(){
   
4.     echo -n removing chain...
   
5.     {
   
6.         /sbin/iptables -t ${TABLE} -D PREROUTING -j NF_QUEUE_CHAIN
   
7.         /sbin/iptables -t ${TABLE} -D OUTPUT -j NF_QUEUE_CHAIN
   
8.         /sbin/iptables -t ${TABLE} -F NF_QUEUE_CHAIN
   
9.         /sbin/iptables -t ${TABLE} -X NF_QUEUE_CHAIN
   
10.     } &>/dev/null
    
11.     echo done
    
12. }
    
13. function create_chain(){
    
14.     echo -n creating chain...
    
15.     /sbin/iptables -t ${TABLE} -N NF_QUEUE_CHAIN
    
16.     echo hello
    
17.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -p tcp -d 192.168.0.220 -m mark --mark 0 -j NFQUEUE --queue-num 8010
    
18.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -p tcp -s 192.168.0.220 -m mark --mark 0 -j NFQUEUE --queue-num 8010
    
19.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -j MARK --set-mark 0
    
20.     /sbin/iptables -t ${TABLE} -I OUTPUT -j NF_QUEUE_CHAIN
    
21.     /sbin/iptables -t ${TABLE} -I PREROUTING -j NF_QUEUE_CHAIN
    
22.     echo done
    
23. }
    
24. function on_iqh(){
    
25.     remove_chain
    
26.     exit 1
    
27. }
    
28. trap on_iqh INT QUIT HUP
    
29. remove_chain
    
30. create_chain
    
31. exit 0
    
32. ./nf_queue_test 8010
    
33. remove_chain
    
34. 
    

复制代码

goter

看看

1. 
   
2. static inline struct nf_conn *
   
3. resolve_normal_ct(struct net *net,
   
4.                   struct sk_buff *skb,
   
5.                   unsigned int dataoff,
   
6.                   u_int16_t l3num,
   
7.                   u_int8_t protonum,
   
8.                   struct nf_conntrack_l3proto *l3proto,
   
9.                   struct nf_conntrack_l4proto *l4proto,
   
10.                   int *set_reply,
    
11.                   enum ip_conntrack_info *ctinfo)
    
12. {
    
13.         struct nf_conntrack_tuple tuple;
    
14.         struct nf_conntrack_tuple_hash *h;
    
15.         struct nf_conn *ct;
    
16. 
    
17.         if (!nf_ct_get_tuple(skb, skb_network_offset(skb),
    
18.                              dataoff, l3num, protonum, &tuple, l3proto,
    
19.                              l4proto)) {
    
20.                 pr_debug("resolve_normal_ct: Can't get tuple\n");
    
21.                 return NULL;
    
22.         }
    
23. 
    
24.         /* look for tuple match */
    
25.         h = nf_conntrack_find_get(net, &tuple);
    
26.         if (!h) {
    
27.                 h = init_conntrack(net, &tuple, l3proto, l4proto, skb, dataoff);
    
28.                 if (!h)
    
29.                         return NULL;
    
30.                 if (IS_ERR(h))
    
31.                         return (void *)h;
    
32.         }
    
33.         ct = nf_ct_tuplehash_to_ctrack(h);
    
34. 
    

复制代码

chenshko

顶上去~

Godbach

你这样测试一下，单独写一个小模块，取一个 skb 的 ct，看看能否成功

chenshko

谢谢楼上各位，问题解决了~

通过跟内核发现，nf_conntrack_ipv4没有被加载，手动加载进去就好了