Linux netlink的NETLINK_SOCK_DIAG如何被动监听？

woshizzb

   我的内核版本是3.12， NETLINK里面有一个叫NETLINK_SOCK_DIAG的项， 注释是 socket monitor,  我自己理解如下：

如果有一个程序创建了NETLINK_SOCK_DIAG的netlink socket, 那么它可以监控所有的应用程序创建的socket, 即在其他应用程序创建socket之后，它会收到内核发来的netlink消息。
我写了程序尝试， 主要代码如下：

1. sock = socket(AF_NETLINK, SOCK_RAW, NETLINK_SOCK_DIAG);
   
2. 
   
3. struct sockaddr_nl sa;
   
4. sa.nl_family = AF_NETLINK;
   
5. sa.nl_groups = 0xFFFFFFFF;
   
6. sa.nl_pid = 0;
   
7. bind(sock, &sa, sizeof(sa));
   
8. 
   
9. while(1)
   
10. {
    
11.     recv(sock, buffer, 4096, 0);
    
12.     printf("recv message\n");
    
13. }

复制代码

启动这个程序后， 尝试arping/ping/tftp/ftp， 发现并未收到任何内核主动发来的netlink消息。  只有主动向内核发送request消息，才会收到reply。

请教各位： 是否可以做到被动监听所有socket(即内核主动通知进程，而非进程定时发送request查询).  
google搜了很久， 没发现有用的介绍

xlhl3

回复 1# woshizzb
static int __net_init diag_net_init(struct net *net)
{
        struct netlink_kernel_cfg cfg = {
                .input        = sock_diag_rcv,
        };

        net->diag_nlsk = netlink_kernel_create(net, NETLINK_SOCK_DIAG, &cfg);
        return net->diag_nlsk == NULL ? -ENOMEM : 0;
}

在内核处建立NETLINK的时候，使用的就是接收发送机制，而且使用的是单播。
如果你想内核主动通知进程，可参考netlink中的NETLINK_NFLOG接口