nf_conntrack的destroy事件的捕抓

philarlala

有没有研究过nf_conntrack 的destroy事件捕抓的？
nf_conntrack_ecache，只能注册一个事件通知函数，已经被ctnetlink 用了，
而内核网络子模块实现的三个事件通知链都是不相关的，
难道要自己写一个类似nf_conntrack_ecache的模块，然后被自己用，
感觉好麻烦，我只是想在内核统计一下每一个被destroy的连接的packets和bytes

philarlala

大神们，讨论一下吧

nswcfd

新内核不留DESTROY接口了也没有办法。

要么hack nf_conntrack，要么hack conntrack_netlink，给自己加钩子。
两个都不想hack，可以利用[jprobe]劫持destory_conntrack之类的函数（记不清具体的函数名了）。

关于kprobe的用法，kernel/Document目录里有example，网上也有一大堆。

philarlala

弱弱再问一句，hack nf_conntack 是什么意思？回复 3# nswcfd


   

nswcfd

不好意思，没说清楚，就是修改代码了。