用NETLINK_FIREWALL实现ALG的一些问题

overcloud

是这样的一个应用，先是control flow:A发一个query给B，B回一个response
                           然后是data flow: A->B
要在AB之间针对这个特殊协议做NAT
下面是我的理解

因为需要在userspace对这个query 和response在userspace进行修改，所以，设置iptables命令，用NETLINK_FIREWALL把相应的msg从kernal传到userspace，修改后传回去
另外需要由netfilter进行conntrack并且nat建立之后的data flow 的NAT binding

我的问题是
1,NETLINK_FIREWALL的调用时机在什么时候，是不是通过iptables的命令来决定hook？但是priority呢？和CONNTRACK和NAT的调用哪个先？
2,在userspace依然需要获得类似ipt_MASQUERADE_target里dst=B的interface IP和port，也就是应该是NAT之后的src_ip和src_port,怎么获得呢？

lyl19

这种应用，完全可以在内核实现，conntrack中help, expect专为这个而设计。
可以参照ftp alg来做

platinum

对于 FTP 的 ALG 来说，默认只能监视 21 端口，通过参数可以添加其他端口，但数量有限
有什么办法可以直接监视所有端口？

fly6

参考一下TFTP吧,超级简单的,help在端口69上监听