- 论坛徽章:
- 0
|
数据报处理(Packet Mangling) \r\n\r\nMangle表格在NF_IP_PRE_ROUTING和NF_IP_LOCAL_OUT钩子中进行注册。使用 mangle表,可以实现对数据报的修改或给数据报附上一些带外数据。当前mangle表支持修改TOS位及设置skb的nfmard字段。 \r\n\r\n源码分析 \r\n\r\n如果我们想加入自己的代码,便要用nf_register_hook函数,其函数原型为: \r\n\r\n\r\nint nf_register_hook(struct nf_hook_ops *reg) \r\nstruct nf_hook_ops \r\n{ \r\nstruct list_head list; \r\n/* User fills in from here down. */ \r\nnf_hookfn *hook; \r\nint pf; \r\nint hooknum; \r\n/* Hooks are ordered in ascending priority. */ \r\nint priority; \r\n};\r\n \r\n\r\n\r\n我们的工作便是生成一个struct nf_hook_ops结构的实例,并用nf_register_hook将其HOOK上。其中list项我们总要初始化为{NULL,NULL};由于一般在IP层工作,pf总是PF_INET;hooknum就是我们选择的HOOK点;一个HOOK点可能挂多个处理函数,谁先谁后,便要看优先级,即priority的指定了。Netfilter_IPv4.h中用一个枚举类型指定了内置的处理函数的优先级: \r\n\r\n\r\nenum nf_IP_hook_priorities { \r\nNF_IP_PRI_FIRST = INT_MIN, \r\nNF_IP_PRI_CONNTRACK = -200, \r\nNF_IP_PRI_MANGLE = -150, \r\nNF_IP_PRI_NAT_DST = -100, \r\nNF_IP_PRI_FILTER = 0, \r\nNF_IP_PRI_NAT_SRC = 100, \r\nNF_IP_PRI_LAST = INT_MAX, \r\n};\r\n \r\n\r\n\r\nHook是提供的处理函数,也就是我们的主要工作,其原型为: \r\n\r\n\r\nunsigned int nf_hookfn(unsigned int hooknum, \r\nstruct sk_buff **skb, \r\nconst struct net_device *in, \r\nconst struct net_device *out, \r\nint (*okfn)(struct sk_buff *));\r\n \r\n\r\n它的五个参数将由NFHOOK宏传进去。nf_register_hook根据reg中注册的协议簇类型和优先级在nf_hooks中找到相应的位置并插入到此表中。_hooks[NPROTO][NF_MAX_HOOKS]在Netfilter初始化时(Netfilter_init/Netfilter.c,而它在sock_init时调用)已经初始为一个空表。 \r\n\r\n例如IPtable在初始化时(init/IPtable_filter.c)调用nf_register_hook注册他的hook函数。 \r\n\r\n\r\nstatic struct nf_hook_ops IPt_ops[] \r\n= { { { NULL, NULL }, IPt_hook, PF_INET, NF_IP_LOCAL_IN, NF_IP_PRI_FILTER }, \r\n{ { NULL, NULL }, IPt_hook, PF_INET, NF_IP_FORWARD, NF_IP_PRI_FILTER }, \r\n{ { NULL, NULL }, IPt_local_out_hook, PF_INET, NF_IP_LOCAL_OUT, \r\nNF_IP_PRI_FILTER } \r\n}; \r\nmangle在init/IPtable_mangle.c中注册它自己的hook函数。 \r\nstatic struct nf_hook_ops IPt_ops[] \r\n= { { { NULL, NULL }, IPt_hook, PF_INET, NF_IP_PRE_ROUTING, NF_IP_PRI_MANGLE }, \r\n{ { NULL, NULL }, IPt_local_out_hook, PF_INET, NF_IP_LOCAL_OUT, \r\n{NF_IP_PRI_MANGLE } \r\n};\r\n \r\n\r\n\r\nNAT在init/IP_nat_standalone.c中注册它自己的hook函数 \r\n\r\n/*包过滤前,更改目的地址*/ |
|