如何在NF_IP_PRE_ROUTING直接把数据包送到第4层？

lawrence2013

我想把在NF_IP_PRE_ROUTING hook到的一些数据包直接送到4层，我直接调用了ip_local_deliver()函数，但似乎有问题，发udp包的时候不能成功送到4层，发icmp包的时候kernel panic。我该如何解决这个问题？谢谢！

我的代码如下:

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/init.h>
#include <linux/netfilter.h>
#include <linux/skbuff.h>
#include <linux/ip.h>
#include <linux/netdevice.h>
#include <linux/if_ether.h>
#include <linux/if_packet.h>
#include <net/ip.h>
#include <net/tcp.h>
#include <net/udp.h>
#include <net/icmp.h>
#include <linux/netfilter_ipv4.h>

const char* hooks[] ={"NF_IP_PRE_ROUTING"};

unsigned int
header(unsigned int hooknum,
                 struct sk_buff* skb,
                 const struct net_device *in,
                 const struct net_device *out,
                 int (*okfn)(struct sk_buff*))
{
   struct sk_buff* nskb;
   struct iphdr *iph = NULL;
  
   nskb = skb;
   if(nskb==NULL)
   {
     printk("%s\n", "*skb is NULL");
     return NF_ACCEPT;
   }
  
   iph = ip_hdr(nskb);
   if(iph == NULL)
   {
     printk("%s\n", "*iph is NULL");
     return NF_ACCEPT;
   }

   if ((iph->protocol == IPPROTO_UDP) || (iph->protocol == IPPROTO_ICMP)){

           ip_local_deliver(nskb);
           printk("------delivered  --------\n");
           return NF_STOLEN;
   }
     
   return NF_ACCEPT;
}

                             
static struct nf_hook_ops header_ops[] = {
        {
                .hook     = header,
                .owner    = THIS_MODULE,
                .pf       = PF_INET,
                .hooknum  = 0, //NF_IP_PRE_ROUTING,
                .priority = NF_IP_PRI_FIRST,
        },
};

static int __init init(void)
{
    int ret;
    ret = nf_register_hooks(header_ops, ARRAY_SIZE(header_ops));
    if (ret < 0) {
        printk("http detect:can't register header_ops detect hook!\n");
        return ret;
    }
    printk("insmod header_ops detect module\n");
    return 0;
}

static void __exit fini(void)
{
    nf_unregister_hooks(header_ops, ARRAY_SIZE(header_ops));
    printk("remove header_ops detect module.\n");
}

module_init(init);
module_exit(fini);

李佳琪0

学习下。。

Godbach

回复 1# lawrence2013
你这么做跳过了很多三层要对数据包的处理动作，有些动作虽然是在 NF 上，但是是通用的。

建议你先了解一下网络层一般都要对数据包做哪些处理，然后再考虑直接传输到四层。


   

lawrence2013

多谢你的回复。我应该就跳过了一个函数，ip_rcv_finish，这个函数来查找确定是不是本地的数据包，是本地就调用ip_local_deliver，不是本地就调用ip_forward，从理论上似乎没啥问题？

Godbach

回复 4# lawrence2013
那你确定已经将所有 dst ip 不是本地的报文都已经过滤掉了吗。

而且不仅仅是查询，还有路由的设置等。这些动作你都得确认，如果你跳过了，对你是没有影响的。


   

lawrence2013

似乎跟这个问题没关系，我设置仅捕获到本地的icmp包，系统直接panic了。我尝试在NF_IP_LOCAL_IN的钩子上，系统似乎也panic了...

greatcode

你挂在loca_in的位置，不就死循环了么？
挂在pre_routing的最开始的话，就把conntrack和defrag的hook跳过去了，但是local_in里面的一些hook，可能会用到ct相关数据，这里可能出现异常。
你可以调用ip_local_deliver_finish，不要调用ip_local_deliver，我觉得这样更可靠一些。

lawrence2013

嗯，多谢你的提醒。那天GOOGLE看到有人说在LOCAL_IN挂deliver成功了，于是我就直接试了吧，忘了钩子直接在deliver上了。

不过调用ip_local_deliver_finish似乎也有问题，那我慢慢调调吧，似乎没啥问题的。