请问如何开启netfilter/iptables的连接追击功能

kidexp

重组，说错了.....汗

Godbach

那你确定收到的包是分片报文吗？

kidexp

确定，因为我使用wireshark抓包的到的是ip包，而不是TCP包，与程序所抓到的数据包是吻合的，汗...

Godbach

你的程序是放在那个hook点，获取到的包啊？

kidexp

INPUT....
那个规则不就是在那里截获数据包
iptables -I INPUT -p tcp -J ACCEPT

Godbach

原帖由 kidexp 于 2009-8-21 15:50 发表
INPUT....
那个规则不就是在那里截获数据包
iptables -I INPUT -p tcp -J ACCEPT

看了一下代码，报文进入到LOCALIN之前被重组了

1. /*
   
2. *         Deliver IP Packets to the higher protocol layers.
   
3. */
   
4. int ip_local_deliver(struct sk_buff *skb)
   
5. {
   
6.         /*
   
7.          *        Reassemble IP fragments.
   
8.          */
   
9. 
   
10.         if (skb->nh.iph->frag_off & htons(IP_MF|IP_OFFSET)) {
    
11.                 skb = ip_defrag(skb, IP_DEFRAG_LOCAL_DELIVER);
    
12.                 if (!skb)
    
13.                         return 0;
    
14.         }
    
15. 
    
16.         return NF_HOOK(PF_INET, NF_IP_LOCAL_IN, skb, skb->dev, NULL,
    
17.                        ip_local_deliver_finish);
    
18. }

复制代码

kidexp

..那为什么我受到的包和wireshark一样....
不知道，难道我要自己做一个钩子函数，来实现...

Godbach

从16楼代码来看，进入LOCAL_IN的报文应该是经过重组了的

kidexp

Godbach兄，你能不能也测试一下那个代码，不甚感激

Godbach

好的，我这两天找个时间测试一下。不过你能发出分片包的代码，能否分享一下。