求助：关于ipset与内核通信的机制

ellisonfan

求助，最近在看ipset2.3的代码，但是怎么与内核通信的没看明白。

我知道一般与内核通信会采取netlink方式，而且似乎ipset后期也是采取这样的方式。但这个版本用的方式实在看不明白，下面是用户空间的代码，希望有高手帮忙解惑

1. static int kernel_getsocket(void)
   
2. {
   
3.         int sockfd = -1;
   
4. 
   
5.         sockfd = socket(AF_INET, SOCK_RAW, IPPROTO_RAW);
   
6.         if (sockfd < 0)
   
7.                 exit_error(OTHER_PROBLEM,
   
8.                            "You need to be root to perform this command.");
   
9. 
   
10.         return sockfd;
    
11. }

复制代码

1. static inline int wrapped_getsockopt(void *data, socklen_t *size)
   
2. {
   
3.         int res;
   
4.         int sockfd = kernel_getsocket();
   
5. 
   
6.         /* Send! */
   
7.         res = getsockopt(sockfd, SOL_IP, SO_IP_SET, data, size);
   
8.         if (res != 0
   
9.             && errno == ENOPROTOOPT
   
10.             && ipset_insmod("ip_set", "/sbin/modprobe") == 0)
    
11.                 res = getsockopt(sockfd, SOL_IP, SO_IP_SET, data, size);
    
12.         DP("res=%d errno=%d", res, errno);
    
13.        
    
14.         return res;
    
15. }

复制代码

1. static inline int wrapped_setsockopt(void *data, socklen_t size)
   
2. {
   
3.         int res;
   
4.         int sockfd = kernel_getsocket();
   
5. 
   
6.         /* Send! */
   
7.         res = setsockopt(sockfd, SOL_IP, SO_IP_SET, data, size);
   
8.         if (res != 0
   
9.             && errno == ENOPROTOOPT
   
10.             && ipset_insmod("ip_set", "/sbin/modprobe") == 0)
    
11.                 res = setsockopt(sockfd, SOL_IP, SO_IP_SET, data, size);
    
12.         DP("res=%d errno=%d", res, errno);
    
13.        
    
14.         return res;
    
15. }

复制代码

1. static void kernel_getfrom(unsigned cmd, void *data, socklen_t * size)
   
2. {
   
3.         int res = wrapped_getsockopt(data, size);
   
4. 
   
5.         if (res != 0)
   
6.                 kernel_error(cmd, errno);
   
7. }
   

复制代码

1. static void kernel_sendto(unsigned cmd, void *data, size_t size)
   
2. {
   
3.         int res = wrapped_setsockopt(data, size);
   
4. 
   
5.         if (res != 0)
   
6.                 kernel_error(cmd, errno);
   
7. }

复制代码

zhanglin496

netfilter提供了nf_register_sockopt()和nf_unregister_sockopt()来动态登记或取消sockopt命令字。
应用层通过getsockopt和setsockopt来传递命令

ipset内核层的代码创建了一个nf_sockopt_ops 实例：

static struct nf_sockopt_ops so_set = {
        .pf                 = PF_INET,
        .set_optmin         = SO_IP_SET,
        .set_optmax         = SO_IP_SET + 1,
        .set                 = &ip_set_sockfn_set,
        .get_optmin         = SO_IP_SET,
        .get_optmax        = SO_IP_SET + 1,
        .get                = &ip_set_sockfn_get,
#if LINUX_VERSION_CODE < KERNEL_VERSION(2,6,23)
        .use                = 0,
#else
        .owner                = THIS_MODULE,
#endif
};


初始化的时候再向内核注册：

static int __init
ip_set_init(void)
{
        int res;

        /* For the -rt branch, DECLARE_MUTEX/init_MUTEX avoided */
        sema_init(&ip_set_app_mutex, 1);

        if (max_sets)
                ip_set_max = max_sets;
        if (ip_set_max >= IP_SET_INVALID_ID)
                ip_set_max = IP_SET_INVALID_ID - 1;

        ip_set_list = vmalloc(sizeof(struct ip_set *) * ip_set_max);
        if (!ip_set_list) {
                printk(KERN_ERR "Unable to create ip_set_list\n");
                return -ENOMEM;
        }
        memset(ip_set_list, 0, sizeof(struct ip_set *) * ip_set_max);

        INIT_LIST_HEAD(&set_type_list);

        res = nf_register_sockopt(&so_set); //向内核注册so_set，后续便可以和应用层通信。
        if (res != 0) {
                ip_set_printk("SO_SET registry failed: %d", res);
                vfree(ip_set_list);
                return res;
        }

        printk("ip_set version %u loaded\n", IP_SET_PROTOCOL_VERSION);       
        return 0;
}


具体代码可以查看ip_set.c这个文件。我也是新手哈，表述不清楚的地方请见谅。

Godbach

嗯，看了上面贴的部分代码，感觉应该是用的 socekopt。

瀚海书香

回复 1# ellisonfan
内核与用户态通信的方法有很多种，这里用的应该是sockopt。
要想看ipset最新的通信机制，建议看最新的代码ipset-6.10.tar.bz2(下载地址http://ipset.netfilter.org/install.html)

ellisonfan

回复 2# zhanglin496
谢谢你的帮忙，嗯，我找到那个函数了，用的是netfilter提供的函数，非常感谢
也非常感谢楼上几位的帮忙