请教：有关Netfilter的问题

dreamice

请教各位牛人一个问题：
这样一种需求如何实现：比如说想在Netfilter的pre routing点上实现一个hook，克隆这个skb，让原skb走他原来的路径——也就是ACCPT他，而克隆的包我让它按我的意愿走，比如说走input。

谢谢指导！

Godbach

原帖由 dreamice 于 2009-3-11 10:48 发表
请教各位牛人一个问题：
这样一种需求如何实现：比如说想在Netfilter的pre routing点上实现一个hook，克隆这个skb，让原skb走他原来的路径——也就是ACCPT他，而克隆的包我让它按我的意愿走，比如说走input。
...

呵呵，你不是已经说出如何实现了吗？

dreamice

我在想把克隆的包，经过一定的修改后，调用ip_routeme_harder()，不知道这样是否可行

Godbach

原帖由 dreamice 于 2009-3-11 10:49 发表
我在想把克隆的包，经过一定的修改后，调用ip_routeme_harder()，不知道这样是否可行

可以了解一下你对clone的包要做什么工作吗？这个API之前没用过，呵呵

dreamice

克隆的包就是分发一下，让他走与原包不同的路径

ShadowStar

So easy.

这个处理，没有任何问题。

不过要注意，后续的处理可能有问题。
例如需要记录报文内容的话，需要考虑数据包重组的问题；如果做了NAT的话，TCP的三次握手应该会失败的。


刚刚遇到类似的需求，不过否掉了这种做法。

[ 本帖最后由 ShadowStar 于 2009-3-11 12:37 编辑 ]

Godbach

原帖由 dreamice 于 2009-3-11 12:11 发表
克隆的包就是分发一下，让他走与原包不同的路径

恩，那可以实现啊。如果本机接收的话，把报文的目的IP改一下就可以了吧。

ShadowStar

原帖由 Godbach 于 2009-3-11 12:46 发表


恩，那可以实现啊。如果本机接收的话，把报文的目的IP改一下就可以了吧。

如我上面所说的，这种涉及到NAT的操作，会有些问题。
TCP的话，三次握手会失败。除非不考虑三次握手，直接hack socket，上传数据。
UDP的话，conntrack会有冲突（与原始的skb所属的conntrack）。

当然，都是可以解决的，从技术角度讲。

dreamice

原帖由 ShadowStar 于 2009-3-11 12:32 发表
So easy.

这个处理，没有任何问题。

不过要注意，后续的处理可能有问题。
例如需要记录报文内容的话，需要考虑数据包重组的问题；如果做了NAT的话，TCP的三次握手应该会失败的。


刚刚遇到类似的需 ...

请指教该如何做分发？我想在报文重组之前做，不做NAT。

dreamice

原帖由 Godbach 于 2009-3-11 12:46 发表


恩，那可以实现啊。如果本机接收的话，把报文的目的IP改一下就可以了吧。

改目的IP，源包怎么让他继续走？
在这个hook里，新包又如何能让他走下去？
这是我想知道的问题的关键