利用内核态连接跟踪机制

故哈

你可能误解我的意思了。 我不 是要改内核。  我也不想理解内核源代码 我是想知道用什么API可是实现我自己的连接跟踪功能。 :wink: :wink: :wink:

就像我说的 现在有很多 tcp连接 我要给每个连接加个编号 然后告诉用户态程序 现在传上来的数据包属于哪个连接

[ 本帖最后由 故哈 于 2009-3-11 15:58 编辑 ]

Godbach

是想知道用什么API可是实现我自己的连接跟踪功能

内核已经自己实现了链接跟踪的功能。并且做了记录。

如果你需要查看的话，用户态可以直接通过cat /proc/net/ip_conntrack读取当前所有的链接记录

故哈

原帖由 Godbach 于 2009-3-11 16:03 发表

内核已经自己实现了链接跟踪的功能。并且做了记录。

如果你需要查看的话，用户态可以直接通过cat /proc/net/ip_conntrack读取当前所有的链接记录

哦 了解了

Godbach

原帖由 故哈 于 2009-3-11 16:05 发表



哦 了解了

故哈兄就是需要读取当前的链接记录吗？

故哈

原帖由 Godbach 于 2009-3-11 16:10 发表

故哈兄就是需要读取当前的链接记录吗？

不是 。  我是要监控每个HTTP会话里边的cookie看是否有改动。查看这个无法达到目的。 我在看libnetfilter_conntrack


另外  帮忙解释一下

tcp      6 431950 ESTABLISHED src=192.168.179.1 dst=192.168.179.128 sport=3319 dport=22 packets=2 bytes=152 src=192.168.179.128 dst=192.168.179.1 sport=22 dport=3319 packets=2 bytes=80 [ASSURED] mark=0 use=1

6是什么意思 431950 是什么意思  mark有什么用 以及use

Godbach

6应该是TCP的协议号。后面应该是时间。这个时间应该是链接记录超时的倒计时

[ 本帖最后由 Godbach 于 2009-3-11 16:22 编辑 ]

故哈

原帖由 Godbach 于 2009-3-11 16:15 发表
6应该是TCP的协议号。后面应该是时间。

如果我在NF_IP_PRE_ROUTING上加了一个钩子 并且返回了NF_QUEUE 这样会不会影响连接跟踪

换句话说就是连接跟踪在NF_IP_PRE_ROUTING之前还是之后 ？

Godbach

原帖由 故哈 于 2009-3-11 16:17 发表

如果我在NF_IP_PRE_ROUTING上加了一个钩子 并且返回了NF_QUEUE 这样会不会影响连接跟踪

换句话说就是连接跟踪在NF_IP_PRE_ROUTING之前还是之后 ？

链接跟踪本身在在PREROUTING出注册的有hook函数，优先级比高。如果你想用NF_QUEUE的话，最好在他之后

Godbach

故哈兄看一下这张图片：

故哈

还有问题

src=192.168.179.1 dst=192.168.179.128 sport=3319 dport=22 packets=2 bytes=152 src=192.168.179.128 dst=192.168.179.1 sport=22 dport=3319 packets=2 bytes=80

bytes=80的意思是整个连接用了80字节？  2个数据包 对么 另外那个比较大的数是时间？ 那以什么为单位呢

[ 本帖最后由 故哈 于 2009-3-11 16:36 编辑 ]