Linux NAT源码分析

kernel源码: Linux 3.18.21

1.  NAT核心代码框架

DNAT和SNAT最终都会调用nf_nat_ipv4_fn

2. nf_nat_ipv4_fn函数

只有每条连接的第一个包会经过nat表，后面的包直接根据连接跟踪进行转发

3. nf_nat_setup_info函数

SNAT DNAT MASQUERADE等target，匹配上的时候最终都会调用nf_nat_setup_info函数,这个里面会修改连接跟踪里面的reply tuple。

4. nf_nat_packet

该函数的功能主要是根据连接跟踪中的信息去修改skb中的IP地址和端口等信息。

SYN包:   

(1)PREROUTING点:   DNAT, dir非reply, 所以statusbit是IPS_DST_NAT, ct->status没有SNAT, 直接ACCEPT,不调用l3proto->manip_pkt

(2)POSTROUTING点:  SNAT, dir非reply, 所以statusbit是IPS_SRC_NAT， ct->status经过MASQRADE规则后有了SNAT, 调用l3proto->manip_pkt进行SNAT信息修改

SYN + ACK包:

(1)PREROUTING点:   DNAT, dir reply, 所以statusbit是IPS_SRC_NAT, ct->status有SNAT,  调用l3proto->manip_pkt进行信息修改

(2)POSTROUTING点:  SNAT, dir reply, 所以statusbit是IPS_DST_NAT， ct->status有SNAT, 所以直接ACCEPT,不进行地址转换

ACK包：

(1)PREROUTING点:   DNAT, dir非reply, 所以statusbit是IPS_DST_NAT, ct->status有SNAT,  直接ACCEPT,不调用l3proto->manip_pkt进行信息修改

(2)POSTROUTING点:  SNAT, dir非reply, 所以statusbit是IPS_SRC_NAT， ct->status有SNAT, 调用l3proto->manip_pkt进行信息修改

 

unsigned int nf_nat_packet(struct nf_conn *ct,
			   enum ip_conntrack_info ctinfo,
			   unsigned int hooknum,
			   struct sk_buff *skb)
{
	const struct nf_nat_l3proto *l3proto;
	const struct nf_nat_l4proto *l4proto;
	enum ip_conntrack_dir dir = CTINFO2DIR(ctinfo);
	unsigned long statusbit;
	enum nf_nat_manip_type mtype = HOOK2MANIP(hooknum);

	if (mtype == NF_NAT_MANIP_SRC)
		statusbit = IPS_SRC_NAT;
	else
		statusbit = IPS_DST_NAT;

	/* Invert if this is reply dir. */
	if (dir == IP_CT_DIR_REPLY)
		statusbit ^= IPS_NAT_MASK;

	/* Non-atomic: these bits don't change. */
	if (ct->status & statusbit) {
		struct nf_conntrack_tuple target;

		/* We are aiming to look like inverse of other direction. */
		nf_ct_invert_tuplepr(&target, &ct->tuplehash[!dir].tuple);

		l3proto = __nf_nat_l3proto_find(target.src.l3num);
		l4proto = __nf_nat_l4proto_find(target.src.l3num,
						target.dst.protonum);
		if (!l3proto->manip_pkt(skb, 0, l4proto, &target, mtype))
			return NF_DROP;
	}
	return NF_ACCEPT;
}