请教：有关Netfilter的问题

ShadowStar

原帖由 dreamice 于 2009-3-11 15:10 发表


首先，ip_rcv_finish是一个static的函数
其次，我前面也说到，我想在碎片重组之前做这个clone，所以，直接调这个函数，投上去，包是没有重组的；

所以，调这个函数绝对有问题

你是打算在IP分片重组之前进行本地投递？
但是投递到本地后，仍然会进行分片重组的啊。

另外，ip_rcv_finish是不是一个static函数无关紧要，需要的话，把他EXPORT_SYMBOL出来就OK了。

[ 本帖最后由 ShadowStar 于 2009-3-11 15:15 编辑 ]

dreamice

原帖由 platinum 于 2009-3-11 15:08 发表
我觉得这个问题应该分成三个子问题来考虑
1、如何把 1 个包弄成 2 个包？
2、如何让其中一个包按自己的意愿走？
3、以上两者是否存在耦合性？（即是否可能存在相互干扰的成分）

我想，“1” 并不难，“2” ...

1、就是clone一个skb，这个好实现
2、对不是localhost的包进行这个操作，所以我考虑的下一步怎么让他往local host走。这里有个问题我重申一下我在碎片重组之前做这个clone，因此clone的包也能走到netfilter的碎片重组的hook上来，于是在用户空间就不用考虑碎片之类的东东了。tcpdump和libpcap这些机制我考虑过了，和应用程序耦合性太大，所以先否定了。
3、我只是实现一个hook，所以不存在太大的耦合性。

dreamice

原帖由 ShadowStar 于 2009-3-11 15:13 发表


你是打算在IP分片重组之前进行本地投递？
但是投递到本地后，仍然会进行分片重组的啊。

另外，ip_rcv_finish是不是一个static函数无关紧要，需要的话，把他EXPORT_SYMBOL出来就OK了。

其实说白了，我想实现的功能类似与redirect，但redirect是把原包定向到本地，但我只想定向一个副本，原包该走forward还是让他走。

Godbach

要在重组之前clone，而不再重组之后，是基于什么考虑？

platinum

原帖由 ShadowStar 于 2009-3-11 15:13 发表
另外，ip_rcv_finish是不是一个static函数无关紧要，需要的话，把他EXPORT_SYMBOL出来就OK了。

好像如果是 static 函数的话是无法导出的，需要把 static 关键字去掉才可以

Godbach

原帖由 platinum 于 2009-3-11 15:19 发表

好像如果是 static 函数的话是无法导出的，需要把 static 关键字去掉才可以

去掉，然后重新编译内核。。

ShadowStar

原帖由 dreamice 于 2009-3-11 15:18 发表



其实说白了，我想实现的功能类似与redirect，但redirect是把原包定向到本地，但我只想定向一个副本，原包该走forward还是让他走。

了解你得需求，因为我之前的需求也是一样的。

但是这个样子需要考虑一些问题。

副本skb是否修改dest ip和dest port？如果不修改，必须绕过路由，并hack socket。
如果可以修改，那就可以类似REDIRECT，但是需要注意本地端口是TCP的话，三次握手不会成功。

这个副本skb与原始skb没有关系。

platinum

原帖由 dreamice 于 2009-3-11 15:15 发表
这里有个问题我重申一下我在碎片重组之前做这个clone，因此clone的包也能走到netfilter的碎片重组的hook上来，于是在用户空间就不用考虑碎片之类的东东了。

这里先分支讨论一下性能问题
如果 defrag 之前 clone，之后两个包都要 defrag，这样负载会比较高，为什么不先过了 defrag 再 clone 呢？
IP 重组是根据 sip、dip、ipid、proto 四元组来计算 hash 的，如果在早期 clone，那么就要在 defrag 之前把数据包改好，之后走各自的 defrag 队列，性能是比较低的

对于随意控制走向问题，我觉得是不是可以参考 2.6.28 中的数据包网络处理框架？

dreamice

原帖由 ShadowStar 于 2009-3-11 15:24 发表


了解你得需求，因为我之前的需求也是一样的。

但是这个样子需要考虑一些问题。

副本skb是否修改dest ip和dest port？如果不修改，必须绕过路由，并hack socket。
如果可以修改，那就可以类似REDIREC ...

下面这个问题先不考虑：

副本skb是否修改dest ip和dest port？如果不修改，必须绕过路由，并hack socket。
如果可以修改，那就可以类似REDIRECT，但是需要注意本地端口是TCP的话，三次握手不会成功。

到tcp之上那些事情是另外一回事了，我这里想知道的是，clone的这个skb，当然可以修改他的任何参数，如何可以继续走，就是按原skb相同的路走下去，当然在后面某个岔路口他们会分道扬镳。

ShadowStar

原帖由 dreamice 于 2009-3-11 15:29 发表


下面这个问题先不考虑：


到tcp之上那些事情是另外一回事了，我这里想知道的是，clone的这个skb，当然可以修改他的任何参数，如何可以继续走，就是按原skb相同的路走下去，当然在后面某个岔路口他们会分 ...

...
nskb = skb_clone(skb);
ip_rcv_finish(nskb);
...
return ...