linux-conntrack对报文的处理

最新推荐文章于 2024-04-03 11:34:58 发布

bigsheng2

最新推荐文章于 2024-04-03 11:34:58 发布

阅读量459

点赞数

文章标签： linux 网络服务器

本文链接：https://blog.csdn.net/bigsheng2/article/details/122776836

版权

Linux内核的ct系统主要为其他组件提供决策，如NAT和iptables/Nftables的状态包过滤。它在NAT中尤其关键，但即使连接已建立，数据包仍会经过各hook点和路由表。nat流程中，nf_conntrack_tuple用于修改数据包的daddr和dport（PREROUTING）或saddr和sport（POSTROUTING）。

摘要由CSDN通过智能技术生成

Linux 内核中的 ct 系统，本身从不改变/操纵数据包。通常也不会丢弃数据包，只可能在极少数情况下发生这种情况。
ct更多的是为其他内核组件提供决策。如 NAT 子系统以及Iptables和Nftables 的状态包过滤模块。连接跟踪最重要的使用场景就是 NAT，NAT 依赖连接跟踪的结果。
所以，即使存在established 状态的 ct，数据包还是会经过各个hook点，各个内核组件，还是会查找路由表、neighbor表等。
如下，nat流程中，nf_nat_packet 调用 nf_nat_manip_pkt 调用 nf_nat_ipv4_manip_pkt ，使用nf_conntrack_tuple *target 对数据包进行修改，而且在PREROUTING只修改daddr 和 dport，在POSTROUTING只修改saddr和sport。

unsigned int
nf_nat_inet_fn(void *priv, struct sk_buff *skb, const struct nf_hook_state *state)
{
    ct = nf_ct_get(skb, &ctinfo);
    if (!ct)    // conntrack 不存在就做不了 NAT，直接返回，这也是我们为什么说 NAT 依赖 conntrack 的结果
        return NF_ACCEPT;

    nat = nfct_nat(ct);

    switch (ctinfo) {
    case IP_CT_RELATED:
    case IP_CT_RELATED_REPLY: /* Only ICMPs can be IP_CT_IS_REPLY.  Fallthrough */
    case IP_CT_NEW: /* Seen it before? This can happen for loopback, retrans,