Netfilter概念与HOOK点(1)

已于 2023-10-26 10:43:53 修改
阅读量291 收藏
点赞数 2
分类专栏： linux系统应用 文章标签： 网络 linux
于 2023-08-15 15:44:02 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/a609440019/article/details/132278401
版权

1.框架概念

Netfiler是一套融入到linux内核网络协议栈的框架。
在报文流经的关键位置处，基于不同协议(ipv4/ipv6)的hook方式，使用hook列表中对应的钩子函数匹配处理，以实现过滤、修改报文、跟踪等功能；最后处理过的报文会被决定以“放行”或者“丢弃”行为。

1.1 hook注册的钩子函数具有优先级顺序的执行， 值越小，优先级越高
enum nf_ip_hook_priorities {
	...
	NF_IP_PRI_RAW = -300,     /*对应 raw table*/
	...
	NF_IP_PRI_MANGLE = -150,  /*对应  mangle table*/
	NF_IP_PRI_NAT_DST = -100, /*对应  nat table*/
	NF_IP_PRI_FILTER = 0,     /*对应  filter table*/
	...
	NF_IP_PRI_NAT_SRC = 100,  /*对应  nat table*/
	...
};
1.2 hook被划分成5个关键位置处：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING
enum nf_inet_hooks {
	NF_INET_PRE_ROUTING, /*对应 PREROUTING*/
	NF_INET_LOCAL_IN,    /*对应 INPUT*/
	NF_INET_FORWARD,     /*对应 FORWARD*/
	NF_INET_LOCAL_OUT,   /*对应 OUTPUT*/
	NF_INET_POST_ROUTING,/*对应 POSTROUTING*/
	NF_INET_NUMHOOKS
};
1.3 hook与chain(链)是一个东西，linux系统环境的iptables命令帮助信息(iptables -h)，使用术语为chain(链)
iptables v1.4.21

Usage: iptables -[ACD] chain rule-specification [options]
       iptables -I chain [rulenum] rule-specification [options]
       iptables -R chain rulenum rule-specification [options]
       iptables -D chain rulenum [options]
	   ...
1.4 一个报文会经过的路径：


PRE ROUTING->INPUT：报文会在路由选择之前，简单的健全性检查，然后先经过PRE ROUTING点，再进行路由选择，若是本地的报文，途经INPUT点，然后交由上层处理。当然路由选择时可以丢弃不可达的报文

PRE ROUTING->FORWARD->POST ROUTING：报文会在路由选择之前，简单的健全性检查，然后先经过PRE ROUTING点，再进行路由选择，若不是本地的报文，则进入FORWARD点，然后途经最后一个POST ROUTING点，选择对应子网的出口发送出去。

OUTPUT->POST ROUTING：上层处理完后，创建报文，先经过OUTPUT点，然后途经最后一个POST ROUTING点，根据子网选择对应网口发送出去。

注意：网络上有文章描述OUTPUT点之前或者之后会调用”路由选择“行为，刚接触的同学们会被整懵；小生通过代码阅读以及找到netfiler官方文档也作了描述（https://netfilter.org/documentation/HOWTO/netfilter-hacking-HOWTO-3.html））。实际上，报文先处理路由选择，计算源地址和IP选项 ，然后才进入该hook点。如下的流程图关注的是Hook点的经过，因此没有把 “本地发送->route ->OUTPUT”流程描述出来。
Netfilter-Hook
netfilter官方文档描述

2. hook点和table的关系

每个hook点对应的功能繁多，需要配置N条规则，并且有序的执行；如果过多规则被配置的话，不好维护，所以table就诞生了。table一方面细分功能，另一方面把不同的规则划分到不同table里，加以限定执行的顺序。

比如：用户基于PRE ROUTING点，在RAW表、MANGLE表配置多条规则；然后当报文经过PRE ROUTING点时，因RAW表优先级比MANGLE表高(hook优先级列表)，所以RAW表的规则先执行，再执行MANGLE表的规则。

因此所谓的”四表五链“，就是基于4张table和5个hook的关系，来管理诸多规则。
4张表神奇的作用：raw表用于连接跟踪、 mangle表用于修改报文信息、filter表用于过滤报文信息、nat表用于映射地址信息。基于PRE ROUTING点的优先级table规则的执行顺序

3. hook的数据结构、注册钩子列表、调用关键函数

如下hook定义的结构体信息，可以看出它存在于不同net namespace的 struct net结构中，由于net namespace方面可以在同一个系统中建立不同的网络环境，因此hook上的table规则是独立于net namespace中的。

它们之间的包含关系，以及使用struct nf_hook_entries记录不同协议族的不同hook钩子函数信息(ipv4/ipv6协议族的hook点信息))，
struct net ->struct netns_nf -> struct nf_hook_entries-> struct nf_hook_entry[] -> struct nf_hook_ops

/*安装在hook点的钩子函数结构体*/
struct nf_hook_ops {
	/* User fills in from here down. */
	nf_hookfn		*hook;     /*钩子函数，报文经过hook点时调用*/
	struct net_device	*dev;  /*对应的网络设备*/
	void			*priv;     /*每个hook点独有的私有数据*/
	u_int8_t		pf;        /*特定的协议族：NFPROTO_IPV4/NFPROTO_IPV6/...*/
	unsigned int		hooknum;/*钩子安装到哪个hook点*/
	/* Hooks are ordered in ascending priority. */
	int			priority;       /*优先级设置，决定该钩子函数的执行位置，优先级高，则先执行*/
};

/*以下结构体基于net namespace方面而定义*/
struct nf_hook_entry {
	nf_hookfn			*hook;/*隐式的指向nf_hook_ops结构体，仅显式的暴露钩子函数*/
	void				*priv;
};
struct nf_hook_entries {
	u16				num_hook_entries;/*hook点的钩子函数注册的数量*/
	/* padding */
	struct nf_hook_entry		hooks[];/*指向一堆hook点对应的钩子函数*/

	/* trailer: pointers to original orig_ops of each hook,
	 * followed by rcu_head and scratch space used for freeing
	 * the structure via call_rcu.
	 *
	 *   This is not part of struct nf_hook_entry since its only
	 *   needed in slow path (hook register/unregister):
	 * const struct nf_hook_ops     *orig_ops[]
	 *
	 *   For the same reason, we store this at end -- its
	 *   only needed when a hook is deleted, not during
	 *   packet path processing:
	 * struct nf_hook_entries_rcu_head     head
	 */
};
/*定义包含不同协议族的hook点钩子函数的结构体*/
struct netns_nf {
	...
	struct nf_hook_entries __rcu *hooks_ipv4[NF_INET_NUMHOOKS];
	struct nf_hook_entries __rcu *hooks_ipv6[NF_INET_NUMHOOKS];
#ifdef CONFIG_NETFILTER_FAMILY_ARP
	struct nf_hook_entries __rcu *hooks_arp[NF_ARP_NUMHOOKS];
#endif
#ifdef CONFIG_NETFILTER_FAMILY_BRIDGE
	struct nf_hook_entries __rcu *hooks_bridge[NF_INET_NUMHOOKS];
#endif
#if IS_ENABLED(CONFIG_DECNET)
	struct nf_hook_entries __rcu *hooks_decnet[NF_DN_NUMHOOKS];
#endif
	...
};
/*net namespace的结构体，系统可以有多个不同网络空间，隔离网络资源。*/
struct net {
	...
	struct netns_nf		nf;/*每个net namespace独有的hook点列表*/
	...
}

ipv4协议族的hook函数注册列表：仅把4张表的安装的钩子函数罗列出来，其它的表可自行查看。
4张表的内核源文件：iptable_raw.c、iptable_mangle.c、iptable_nat.c、iptable_filter.c

在这里插入图片描述
nf_hook函数和NF_HOOK宏定义，它们会在所有hook点的位置被调用， 即是入口点。
提示：可通过它们找到网络协议栈的源码位置，加以阅读哦。

static inline int
NF_HOOK(uint8_t pf, unsigned int hook, struct net *net, struct sock *sk, struct sk_buff *skb,
	struct net_device *in, struct net_device *out,
	int (*okfn)(struct net *, struct sock *, struct sk_buff *))
{
	/*pf = 协议族, hook = 使用哪个hook点, skb = 报文*/
	int ret = nf_hook(pf, hook, net, sk, skb, in, out, okfn);
	if (ret == 1)
		ret = okfn(net, sk, skb);
	return ret;
}

/**
 *	nf_hook - call a netfilter hook
 *
 *	Returns 1 if the hook has allowed the packet to pass.  The function
 *	okfn must be invoked by the caller in this case.  Any other return
 *	value indicates the packet has been consumed by the hook.
 */
static inline int nf_hook(u_int8_t pf, unsigned int hook, struct net *net,
			  struct sock *sk, struct sk_buff *skb,
			  struct net_device *indev, struct net_device *outdev,
			  int (*okfn)(struct net *, struct sock *, struct sk_buff *))
{
	struct nf_hook_entries *hook_head = NULL;
	int ret = 1;

	...
	
	/*选择协议族的hook列表*/
	rcu_read_lock();
	switch (pf) {
	case NFPROTO_IPV4:
		hook_head = rcu_dereference(net->nf.hooks_ipv4[hook]);
		break;
	case NFPROTO_IPV6:
		hook_head = rcu_dereference(net->nf.hooks_ipv6[hook]);
		break;
	case NFPROTO_ARP:
#ifdef CONFIG_NETFILTER_FAMILY_ARP
		if (WARN_ON_ONCE(hook >= ARRAY_SIZE(net->nf.hooks_arp)))
			break;
		hook_head = rcu_dereference(net->nf.hooks_arp[hook]);
#endif
		break;
	case NFPROTO_BRIDGE:
#ifdef CONFIG_NETFILTER_FAMILY_BRIDGE
		hook_head = rcu_dereference(net->nf.hooks_bridge[hook]);
#endif
		break;
#if IS_ENABLED(CONFIG_DECNET)
	case NFPROTO_DECNET:
		hook_head = rcu_dereference(net->nf.hooks_decnet[hook]);
		break;
#endif
	default:
		WARN_ON_ONCE(1);
		break;
	}

	if (hook_head) {
		struct nf_hook_state state;
		/*把相关信息，设置到state结构里*/
		nf_hook_state_init(&state, hook, pf, indev, outdev,
				   sk, net, okfn);

		/*找到对应的hook函数列表 hook_head，遍历有序的函数进行匹配*/
		ret = nf_hook_slow(skb, &state, hook_head, 0);
	}
	rcu_read_unlock();

	return ret;
}

以上源代码以及内容基于内核4.19.1产出，不同的内核版本，表定义的hook点会有不同，如：nat表 原来只定义了pre routing/output/post routing，4.19.1中的源码新增input。

—越简单，易接受。在折腾路上…

CovHappy
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
linux内核协议栈 netfilter 之 hook 机制概述
10-29 4370
1 netfilter介绍 Linuxnetfilter就是借助一整套的hook函数的管理机制，实现数据包在三层以上的过滤、地址转换(SNAT、DNAT)、基于协议的连接跟踪。我们所说的内核的netfilter，应该包括二层数据的filter操作，以及对三层及三层以上数据的filter等操作。 只不过二层的filter实现与三层及三层也上的filter实现有所不同。其中二层的filter与应用层程序ebtables结合使用，而三层及以上的filter结合iptables使用。但是二层filter与...
linux内核netfilter模块HOOKs点的注册及调用
04-19
详细介绍了linux下防火墙之netfilter模块的hooks注册、调用、测试等情况。
Linux netfilter HOOK机制
kklvsports的专栏
05-11 844
    Linux系统上TCP/IP协议栈在内核态（DPDK等在用户态收包情况例外），用户态如果想要干预报文的处理就需要向内核态注入hook函数，如Linux的iptables，netfilter框架中的HOOK机制即是提供该功能的。通过之前分析ip报文的内核处理路径点击打开链接可知，内核中有如下5个hook点，他们和iptables中chain一一对应。对应hook函数在内核中是NF_HOOK调...
Linux网络数据包处理Netfilter（hook）
haoyuxuanyuan的博客
03-07 1083
  Netfilter是一个用于Linux操作系统的网络过滤框架，它提供了一种在Linux内核中处理网络数据包的机制。Netfilter允许Linux管理员通过定义一组规则来控制网络数据包的流动，例如阻止或允许某些IP地址或端口的数据包通过。这种过滤机制可以用于网络安全、流量控制和网络监控等应用。 Netfilter的核心是iptables，它是一个命令行工具，可用于在Linux系统中配置Netfilter规则。iptables提供了一组命令，使管理员可以定义、修改、删除和显示规则集。这些规则集可以被用于控
(十五)洞悉linux下的Netfilter&iptables：开发自己的hook函数【实战】(上)
chenxzhuang的专栏
10-24 593
原文出处：http://blog.chinaunix.net/uid-23069658-id-3243434.html
netfilter内核实现概述
qq_17045267的博客
01-23 2080
netfilter内核实现概述 一、前言 netfilter是Linux内核中网络防火墙的基础，无论是基于xtables的iptables，还是conntrack、nftables，其底层都是基于netfilter的。总体来说，netfilter提供了一个相对来说比较通用的防火墙框架，这个框架提供了个入口，内核中的其他网络模块可以通过这个入口来实现自己的网络逻辑。本文简单地对netfilter的整个框架以及其内核实现进行了梳理。 二、netfilter框架 2.1 基本原理 相比于那些基于netfilter
netfilter中的hook流程图
11-12
绝对自己总结的，详细介绍了hook的流程，其中包括调用的一些函数。
arptable_filter.rar_hook ip_netfilter_netfilter a_内核HOOK
09-19
Netfilter的内核源代码，可以作为研究ARP，IP的HOOK的前提。
netfilter hook 注册，调用示例
08-17
Linux4.x内核编程实战——netfilter hook 注册，调用示例.nf_hook_ops,nf_register_net_hook, nf_unregister_net_hook 使用
Linux netfilter/iptables知识点详解
09-14
在本篇文章里小编给大家整理的是关于Linux netfilter/iptables知识点详解，有兴趣的朋友们可以参考下。
基于Netfilter框架的防火墙设计与实现
最新发布
05-17
【作品名称】：基于Netfilter框架的防火墙设计与实现 【适用人群】：适用于希望学习不同技术领域的小白或进阶学习者。可作为毕设项目、课程设计、大作业、工程实训或初期项目立项。 【项目介绍】：这是一外个网络...
Netfilter——Netfilter中的HOOK机制
Windeal
04-20 9129
Netfilter 是 Linux网络内核协议栈提供了报文过滤（防火墙）框架，HOOK机制是Netfilter的核心。一、如何在协议栈中调用钩子函数　　在协议栈中相应位置嵌入Netfilter的函数NF_HOOK，来拦截报文送到Netfilter中进行处理。 　协议栈中的五条内置链我们知道Linux网络内核内置了5条链PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUT
Hook技术--⑥Netfilter
一些个人笔记，写的不好之处，还请海涵
10-31 262
Netfilter/IPTables是Linux2.4.x之后新一代的Linux防火墙机制，是一套融入到linux内核网络协议栈的框架，是linux内核的一个子系统。Netfilter采用模块化设计，具有良好的可扩充性。其重要工具模块IPTables从用户态的iptables连接到内核态的Netfilter的架构中，在报文流经的关键位置处，基于不同协议(ipv4/ipv6)的hook方式，使用hook列表中对应的钩子函数匹配处理，以实现过滤、修改报文、跟踪等功能；
linux网络之netfilter 五个钩子点
m0_74282605的博客
03-08 368
在三层IPv4数据包的处理过程中，可能经过Netfilter的五个钩子点，分别为NF_INET_PRE_ROUTING、NF_INET_LOCAL_IN、NF_INET_FORWARD、NF_INET_LOCAL_OUT、NF_INET_POST_ROUTING，在每个点都可以设置一些规则，来对数据包进行匹配检查处理，这些规则的配置、布局和匹配流程。数据包已经被接管，回调函数处理该包，NF不再处理，该回调函数将从此开始对数据包的处理，并且Netfilter应当放弃对该数据包做任何的处理。
Linux下使用Netfilter框架编写内核模块（统计协议层ping特定地址丢包数）
ljbcharles的专栏
02-24 3826
1.5个HOOK点的执行点说明：数据包从进入系统，进行IP校验以后，首先经过第一个HOOK函数NF_IP_PRE_ROUTING进行处理；然后就进入FORWARD路由匹配，其决定该数据报是需要转发还是发给本机的；若该数据包是发给本机的，则该数据经过HOOK函数NF_IP_LOCAL_IN处理以后然后传递给上层协议；若该数据报应该被转发则它被NF_IP_FORWARD处理；经过转发的数据报经过最后一个HOOK函数NF_IP_POST_ROUTING处理以后，再传输到网络上。
【博客587】ipvs hook点在netfilter中的位置以及优先级
qq_43684922的博客
01-15 1621
根据定义，ipvs挂载在LOCAL_IN、FORWORD和LOCAL_OUT的hook点上了，根据优先级，我们得到以下结论：1、INPUT：ipvs的hook会在Filter TABLE 后执行，然后转到NAT TABLE2、OUTPUT：ipvs的hook会在NAT TABLE ，然后转到Filter TABLE3、FORWARD：ipvs的hookFilter TABLE后执行，然后结束整个FORWARD，包往POSTROUTING走。
【博客598】从netfilter hook执行原理分析iptables为什么自定义链无法主动调用只能从其它链跳转过来
qq_43684922的博客
01-18 952
跳转目标（jump target）jump target 是跳转到其 他 chain 继续处理的动作。很多内置的 chain，它们和调用它们的 netfilter hook 紧密联系在一起。iptables 也支持管理员创建他们自己的用于管理目的的自定义chain。为什么自定义链无法主动调用只能从其它链跳转过来：用户定义的 chain 只能通过从另一个规则跳转（jump）到它，因为它们没有注册到 netfilter hook，因为netfilter hook中没有自定义hook点，只有固定的5个内置点。
Linux3.13.0 netfilter 学习笔记 之一 HOOK机制
qq_28808697的博客
04-18 2423
netfilter介绍 Linux netfilter就是借助一整套的 hook 函数的管理机制，实现数据包在三层以上的过滤、地址转换(SNAT、DNAT)、基于协议的连接跟踪。我们所说的内核的netfilter，应该包括二层数据的filter操作，以及对三层及三层以上数据的filter等操作。 只不过二层的filter实现与三层及三层也上的filter实现有所不同。其中二层的filter与应用层程序ebtables结合使用，而三层及以上的filter结合iptables使用。但是二层filter与三层fi
利用netfilter截获、修改数据包基础与实现
AFCC_的博客（Web_Dog）
08-21 3064
本着记录自己疯狂过的青春，对netfilter的应用学习做点记录。 0x00前提 双网卡硬件设备作中间件，一个网卡接收向另一网卡转发时进行操作数据包。下文中举例eth0为进入，eth1为发出，相对而言。本次开发利用netfilter框架进行完整开发，基本实现对数据包的任意操作。 0x01 什么是netfilter Netfilter是linux2.4.x引入的一个子系统，作为一个通用的、抽象的框...
netfilter netlink
07-28
Netfilter是一个内核模块，它Linux操作系统中用于实现网络包过滤和网络连接跟踪的框架。Netlink是Linux内核与用户空间之间进行通信的一种机制，它允许用户空间程序与内核模块进行交互，包括对Netfilter进行配置和管理。 具体来说，Netfilter提供了一个规则集，用户可以定义过滤规则来控制进出系统的网络流量。这些规则可以基于源IP地址、目标IP地址、端口号等条件进行匹配，并且可以执行各种操作，如接受、拒绝、修改或重定向网络包。 Netlink是一种用于内核与用户空间通信的接口，它通过套接字来实现。用户空间程序可以使用Netlink套接字与内核通信，发送请求以配置和管理Netfilter规则。Netlink提供了一组API，用户可以使用这些API发送命令和接收内核的响应。 总结起来，Netfilter用于实现网络包过滤和连接跟踪，而Netlink则是用于用户空间程序与内核模块进行通信的机制，用于配置和管理Netfilter规则。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值