网桥数据可以被 REDIRECT 吗？

Godbach

原帖由 platinum 于 2009-9-23 15:05 发表
应如何做呢？是不是把 skb->dev 指向 eth2 的 net_device 结构？
其他的是不是也需要改啊，比如 skb->dst、skb->sk 等？

用咱们平时的dev_queue_xmit发送，不过前提是需要知道eth2的MAC地址。不过作为测试，也可以写死啊。

要么就是修改skb->dev的相关参数吧。

platinum

有点复杂，这样的话除了修改 MAC 还要修改 IP，而且要自己重新计算校验和
不仅如此，出去的数据也要反向修改回去
整个 REDIRECT 都要手动完成
搭建这个实验模型的代价有些大

有没有变相的方法可以解决，哪怕效率低一些呢？

Godbach

呵呵，是有点。因为涉及到构造和发送数据包了。

你现在的情况是，TCP 80的请求包没有到达192.168.1.1的主机上吧

platinum

确切讲，TCP/80 的请求到达了 192.168.1.1 所在的主机，只是没到达 192.168.1.1 这个 IP 的网络接口
数据包直接进入桥接口了，想内部把数据转给本地高层协议栈处理，之后再回来

Godbach

确切讲，TCP/80 的请求到达了 192.168.1.1 所在的主机，只是没到达 192.168.1.1 这个 IP 的网络接口

这个地方有点不太明白你的意思。 192.168.1.1是和桥直连的一台主机吧？

platinum

原帖由 Godbach 于 2009-9-23 15:50 发表

这个地方有点不太明白你的意思。 192.168.1.1是和桥直连的一台主机吧？

不是，顶楼有拓扑图，和桥直连的机器 IP 是 192.168.1.2
192.168.1.1 是桥所在设备的第三个网口，非桥接口

Godbach

eth0和eth1是桥接口，eth2并不是。是这个意思吧，白金兄

platinum

原帖由 Godbach 于 2009-9-23 15:57 发表
eth0和eth1是桥接口，eth2并不是。是这个意思吧，白金兄

没错，就是这个意思
目前 192.168.1.2 可以直接访问 192.168.1.1 的 HTTP
希望通过桥出去的 HTTP 请求都重定向到 192.168.1.1 上
有什么更好更巧的办法实现吗？

smalloc

考虑到你这个环境其实改动灵活性很大.
首先说明的是因为桥没加IP,那么它是一个独立的2层交换.(br_netfilter还没彻底弄清楚).
那么机子上实际是2个独立的设备,一个2层交换机,一个主机.
那么
iptables -t nat -I PREROUTING -d 202.106.0.20 -p tcp --dport 80 -j DNAT --to 192.168.1.1
对于eth2上来到IP层的数据包有效.

1,假设用户机的网关配置为防火墙或其后面的机器.那么从防火墙发送出来的数据包的目的MAC是这个网关的地址.
这个包到达交换机后,因为网关的MAC转发记录可能存在交换机中,那么此数据包会达到桥.
这个时候你只需要在桥接受到这个数据包将目的MAC转为ETH2的MAC并从ETH0再发出来,就可以到达ETH2.并传递到上层,但这个要接受还要加相应

的规则.

问题是这时候在交换机上的记录表项出现了冲突.....
因为有相同的源MAC在2个不同的入口到达交换机.....
而且单单修改MAC,问题很大.

2,即使在在桥上添加自己的hook,侦听ip和端口,并改IP,再从ETH0发送出来,对于交换机也有问题.
如果这个交换机是一个hub,那么2个方法,一切成立.

在存在交换机的情况下只能考虑IP层的代理.
就是你前面的那个NAT规则.这个时候关键是你的桥要表现的像一台路由器.好象一年前异次元空间提到这个，当时没注意。


br_input.c->br_handle_frame->NF_HOOK(PF_BRIDGE, NF_BR_PRE_ROUTING, skb, skb->dev, NULL,
                        br_handle_frame_finish);
->br_nf_pre_routing->
（注意这里开启brnf_call_iptables，也就是将/proc/sys/net/bridge/bridge-nf-call-iptables致为1时）才调用下面的
NF_HOOK(PF_INET, NF_IP_PRE_ROUTING, skb, skb->dev, NULL,
                br_nf_pre_routing_finish);
恩，这里就进入了iptables.
做过了dnat以后进入br_nf_pre_routing_finish。
后面还没明白怎么回事,只能慢慢看了.

duanjigang

把192.168.1.1也加入到桥中，然后
稍微修改桥代码就能把访问202.106.0.20:80的数据包发到192.168.1.1上去，但是转发过来的报文的目的IP不是.1的地址，sniffer能抓到包，也到不了上层啊
我没实验过直接修改http报文的目的IP的做法，不过可以试下，如果修改之后.1上抓到的包的目的IP是.1的话，应该就可以了。

[ 本帖最后由 duanjigang 于 2009-9-23 17:03 编辑 ]