请教：有关Netfilter的问题

dreamice

原帖由 scutan 于 2009-3-11 13:18 发表


呵呵, 我也正为这问题迷糊呢. ip_rcv进来的时候只有一个skb, 在hook中完了的时候就有了两个skb了. 而对每个包的处理是串行的.

你说的这个应该是在ip_rcv里面复制了一份吧，而原来的包有引用。

Godbach

原帖由 dreamice 于 2009-3-11 13:18 发表



你没明白我的问题啊

我可以克隆，可以修改，这是让他走特定路径的前提。但这个包修改了之后需要投递吧？
如果不投递他，它就能走下去了？我是想知道该如何投递这个包。

        return NF_HOOK(PF_INET, NF_IP_PRE_ROUTING, skb, dev, NULL,
                       ip_rcv_finish);

ShadowStar

原帖由 dreamice 于 2009-3-11 13:17 发表


我肯定是需要重组后的包。
有两点不太清楚：
1、应用层对包进行重组需要注意什么？
2、我如果在Netfilter中对包进行重组之前，搞一个复制skb，然后发到local in上，岂不是很省事了？
我还是很想知道问题 ...

1。conntrack的defrag是针对IP分片的。如果你连这个都跳过的话，应用层需要实现2个重组：1，ip分片的重组；2，报文的重组（例如HTML报文，在TCP层就拆分了的）。
2。直接丢到local_deliver上的问题是，本地肯定需要个socket监听才可以，而且还不能是TCP的。而且还涉及到socket的查找（正常是找不到的）。

Godbach

dreamice兄的意思是新拷贝的报文怎么进一步发送？

scutan

原帖由 dreamice 于 2009-3-11 13:20 发表


你说的这个应该是在ip_rcv里面复制了一份吧，而原来的包有引用。

不是哈, 我也是和你想的一样, 在hook函数中复制了一个新的skb. 如何让这个skb进入到网络协议栈的那条路径中去.

ShadowStar

原帖由 scutan 于 2009-3-11 13:26 发表

不是哈, 我也是和你想的一样, 在hook函数中复制了一个新的skb. 如何让这个skb进入到网络协议栈的那条路径中去.

......
nskb = skb_clone(skb);
ip_rcv_finish(nskb);
......

Godbach

    return NF_HOOK(PF_INET, NF_IP_PRE_ROUTING, skb, dev, NULL,
                       ip_rcv_finish);

以上是ip_rcv的函数最后的执行，如果新copy的报文的话，是不是可以考虑直接调用ip_rcv_finish?

dreamice

第一个问题觉得太麻烦了，与我当前的系统实现可能改动太大，接口也会很复杂；
第二个问题：本地是肯定要有socket监听的，不然没办法投递上去，其他的问题应该还好说，我这里就是想知道，这个skb，我调用什么样的接口，就能到本地了。

scutan

原帖由 ShadowStar 于 2009-3-11 13:28 发表


......
nskb = skb_clone(skb);
ip_rcv_finish(nskb);
......

呵呵, 我也是这样想的, 得自己去调用.

Godbach

原帖由 ShadowStar 于 2009-3-11 13:28 发表


......
nskb = skb_clone(skb);
ip_rcv_finish(nskb);
......

如果使用skb_clone的话，是不是相当于报文的内容共用一块内存区？