Linux桥转发经过的netfilter钩子点

已于 2024-08-13 00:18:08 修改
阅读量655 收藏 8
点赞数 5
文章标签： 网络 linux tcp/ip c语言 智能路由器
于 2024-08-11 18:32:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/buhuidage/article/details/141108233
版权

你是否也有这样的疑问，当我们路由器局域内的下挂设备，是怎么互相访问的呢。假设我的路由器当前的网段是192.168.1.1，有一台PC有线接入，IP地址为 192.168.1.142 ，一台手机WiFi接入，IP地址为192.168.1.223，示意图如下：

此时PC给手机发送一个ping(icmp)报文，那么这个报文在我们linxu内核协议栈是怎么样的一个流程呢。那么就要提到一个概念，桥转发。

桥转发：在链路层，根据报文的目的MAC地址进行报文转发，我们也叫二层转发。进行二层转发的一般叫网桥（bridge）, 进行二层转发的设备可以是一台设备，比如我们的交换机，而我们这里的桥转发，就是软件实现的交换机。

每个桥内都会维护一张转发表，转发表现包含如下信息：

port: 该设备连接在路由器上的哪个端口，也可以理解为接在哪个interface口，对于我们WiFi设备来说，可能是wlan0,wlan1等也就是2.4G或者5G，有线接入的设备的话可能是eth0.X,  不同的网络设备可能有所差别。

addr:设备的mac地址

is local: yes表示是否是本机，no表示不是本机

ageing timer: 设备的老化时间，当我的设备拔掉网线，或者断开WiFi的时候，这里的老化时间就会增加，达到一定阈值就会删除表项（FDB表），不同设备时间有差别，这个是Linux内核实现，可以修改；

FDB表：即二层MAC地址表，用于二层转发，当某个端口收到一个数据帧时，会根据我们的FDB表转发出去报文，就是我们上面用命令brctl  showmacs br-lan 查看的那个表。

对于我们的路由转发（三层转发， 根据IP地址来转发），在netfilter框架，会有五个钩子点，可以分为：

1.送入本机

2.从本机发出

3.从本机转发

这三点经过的钩子点是不同的，在我们桥转发，也会有这样的钩子点；那么我们桥转发经过的钩子点有哪些呢

直接上代码测试：

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/ip.h>
#include <linux/netdevice.h>
#include <linux/skbuff.h>
#include <linux/if_arp.h>
#include <linux/if_ether.h>
#include <linux/netfilter_bridge/ebtables.h>
#include <uapi/linux/netfilter_bridge.h>
#include <linux/in_route.h>
#include <net/ip.h>
#include <linux/proc_fs.h>
#include <linux/fs.h>

static unsigned int
test_nf_pre_routing(void *priv, struct sk_buff *skb,
	    const struct nf_hook_state *state)
{
	u_int8_t smac[ETH_ALEN] = {0};
	u_int8_t dmac[ETH_ALEN] = {0};
    struct ethhdr *ethhdr = NULL;
	struct iphdr *iph = NULL;
	static int count = 0;

    ethhdr = eth_hdr(skb);
	iph = ip_hdr(skb);
    if (!ethhdr)
        return NF_ACCEPT;
    
    memcpy(dmac, ethhdr->h_dest, ETH_ALEN);
	memcpy(smac, ethhdr->h_source, ETH_ALEN);
	
    if (!skb->dev)
        return NF_ACCEPT;

	if (iph->protocol == IPPROTO_ICMP) {
			printk("<%s:%d:%p>, dev=%s, source mac = %02X:%02X:%02X:%02X:%02X:%02X, destination mac = %02X:%02X:%02X:%02X:%02X:%02X\n",
        	__FUNCTION__, __LINE__, skb, skb->dev->name, smac[0], smac[1], smac[2], smac[3], smac[4], smac[5],
		    dmac[0], dmac[1], dmac[2], dmac[3], dmac[4], dmac[5]);
			printk("icmp(ping) packet %pI4--->%pI4 count = %d\n", 
            &iph->saddr, &iph->daddr, ++count);
	
   
	}

	return NF_ACCEPT;
}

static unsigned int
test_nf_local_in(void *priv, struct sk_buff *skb,
	     const struct nf_hook_state *state)
{
	u_int8_t smac[ETH_ALEN] = {0};
	u_int8_t dmac[ETH_ALEN] = {0};
    struct ethhdr *ethhdr = NULL;
	struct iphdr *iph = NULL;
	static int count = 0;

    ethhdr = eth_hdr(skb);
	iph = ip_hdr(skb);
    if (!ethhdr)
        return NF_ACCEPT;
    
    memcpy(dmac, ethhdr->h_dest, ETH_ALEN);
	memcpy(smac, ethhdr->h_source, ETH_ALEN);
	
    if (!skb->dev)
        return NF_ACCEPT;

	if (iph->protocol == IPPROTO_ICMP) {	
			printk("<%s:%d:%p>, dev=%s, source mac = %02X:%02X:%02X:%02X:%02X:%02X, destination mac = %02X:%02X:%02X:%02X:%02X:%02X\n",
        	__FUNCTION__, __LINE__, skb, skb->dev->name, smac[0], smac[1], smac[2], smac[3], smac[4], smac[5],
		    dmac[0], dmac[1], dmac[2], dmac[3], dmac[4], dmac[5]);
			 printk("icmp(ping) packet %pI4--->%pI4 count = %d\n", 
            &iph->saddr, &iph->daddr, ++count);
	}

	return NF_ACCEPT;
}

static unsigned int
test_nf_forward(void *priv, struct sk_buff *skb,
	     const struct nf_hook_state *state)
{
	u_int8_t smac[ETH_ALEN] = {0};
	u_int8_t dmac[ETH_ALEN] = {0};
    struct ethhdr *ethhdr = NULL;
	struct iphdr *iph = NULL;
	static int count = 0;

    ethhdr = eth_hdr(skb);
	iph = ip_hdr(skb);
    if (!ethhdr)
        return NF_ACCEPT;
    
    memcpy(dmac, ethhdr->h_dest, ETH_ALEN);
	memcpy(smac, ethhdr->h_source, ETH_ALEN);
	
    if (!skb->dev)
        return NF_ACCEPT;

	if (iph->protocol == IPPROTO_ICMP) {
			printk("<%s:%d:%p>, dev=%s, source mac = %02X:%02X:%02X:%02X:%02X:%02X, destination mac = %02X:%02X:%02X:%02X:%02X:%02X\n",
        	__FUNCTION__, __LINE__, skb, skb->dev->name, smac[0], smac[1], smac[2], smac[3], smac[4], smac[5],
		    dmac[0], dmac[1], dmac[2], dmac[3], dmac[4], dmac[5]);
			 printk("icmp(ping) packet %pI4--->%pI4 count = %d\n", 
            &iph->saddr, &iph->daddr, ++count);
	}
    
	return NF_ACCEPT;
}

static unsigned int
test_nf_local_out(void *priv, struct sk_buff *skb,
	     const struct nf_hook_state *state)
{   
	u_int8_t smac[ETH_ALEN] = {0};
	u_int8_t dmac[ETH_ALEN] = {0};
    struct ethhdr *ethhdr = NULL;
	struct iphdr *iph = NULL;
	static int count = 0;

    ethhdr = eth_hdr(skb);
	iph = ip_hdr(skb);
    if (!ethhdr)
        return NF_ACCEPT;
    
    memcpy(dmac, ethhdr->h_dest, ETH_ALEN);
	memcpy(smac, ethhdr->h_source, ETH_ALEN);
	
    if (!skb->dev)
        return NF_ACCEPT;

	if (iph->protocol == IPPROTO_ICMP) {
			printk("<%s:%d:%p>, dev=%s, source mac = %02X:%02X:%02X:%02X:%02X:%02X, destination mac = %02X:%02X:%02X:%02X:%02X:%02X\n",
        	__FUNCTION__, __LINE__, skb, skb->dev->name, smac[0], smac[1], smac[2], smac[3], smac[4], smac[5],
		    dmac[0], dmac[1], dmac[2], dmac[3], dmac[4], dmac[5]);
			 printk("icmp(ping) packet %pI4--->%pI4 count = %d\n", 
            &iph->saddr, &iph->daddr, ++count);
	}

	return NF_ACCEPT;
}

static unsigned int
test_nf_post_routing(void *priv, struct sk_buff *skb,
	     const struct nf_hook_state *state)
{
	u_int8_t smac[ETH_ALEN] = {0};
	u_int8_t dmac[ETH_ALEN] = {0};
    struct ethhdr *ethhdr = NULL;
	struct iphdr *iph = NULL;
	static int count = 0;

    ethhdr = eth_hdr(skb);
	iph = ip_hdr(skb);
    if (!ethhdr)
        return NF_ACCEPT;
    
    memcpy(dmac, ethhdr->h_dest, ETH_ALEN);
	memcpy(smac, ethhdr->h_source, ETH_ALEN);
	
    if (!skb->dev)
        return NF_ACCEPT;

	if (iph->protocol == IPPROTO_ICMP) {
			printk("<%s:%d:%p>, dev=%s, source mac = %02X:%02X:%02X:%02X:%02X:%02X, destination mac = %02X:%02X:%02X:%02X:%02X:%02X\n",
        	__FUNCTION__, __LINE__, skb, skb->dev->name, smac[0], smac[1], smac[2], smac[3], smac[4], smac[5],
		    dmac[0], dmac[1], dmac[2], dmac[3], dmac[4], dmac[5]);
			 printk("icmp(ping) packet %pI4--->%pI4 count = %d\n", 
            &iph->saddr, &iph->daddr, ++count);
	}
	return NF_ACCEPT;
}

static const struct nf_hook_ops test_nf_ops[] = {
	{
		.hook		= test_nf_pre_routing,
		.pf		= NFPROTO_BRIDGE,
		.hooknum	= NF_BR_PRE_ROUTING,
		.priority	= NF_BR_PRI_FILTER_OTHER,
	},
	{
		.hook		= test_nf_local_in,
		.pf		= NFPROTO_BRIDGE,
		.hooknum	= NF_BR_LOCAL_IN,
		.priority	= NF_BR_PRI_FILTER_OTHER,
	},
	{
		.hook		= test_nf_forward,
		.pf		= NFPROTO_BRIDGE,
		.hooknum	= NF_BR_FORWARD,
		.priority	= NF_BR_PRI_FILTER_OTHER,
	},
	{
		.hook		= test_nf_local_out,
		.pf		= NFPROTO_BRIDGE,
		.hooknum	= NF_BR_LOCAL_OUT,
		.priority	= NF_BR_PRI_FILTER_OTHER,
	},
	{
		.hook		= test_nf_post_routing,
		.pf		= NFPROTO_BRIDGE,
		.hooknum	= NF_BR_POST_ROUTING,
		.priority	= NF_BR_PRI_FILTER_OTHER,
	},
};

static int __init test_module_init(void)
{
    printk("bridge...init\n");
	nf_register_net_hooks(&init_net, test_nf_ops, ARRAY_SIZE(test_nf_ops));
    return 0;
}

static void test_module_exit(void)
{
	printk("bridge....exit\n");
    nf_unregister_net_hooks(&init_net, test_nf_ops, ARRAY_SIZE(test_nf_ops));
    return;
}

module_init(test_module_init);
module_exit(test_module_exit);
MODULE_LICENSE("GPL v2");

注意：openwrt要开ebtables 那部分的内核代码netfilter部分要看编译到没，我这里直接是打开ebtables工具和内核桥转发netfilter宏，就可以生效了。

用PC给手机发送一个ICMP报文

路由器上打印如下：

从上面打印我们看到从本机转发的报文经过的钩子点为：

NF_BR_PRE_ROUTING->NFPROTO_BRIDGE->NFPROTO_BRIDGE

换成用PC给路由器发送一个ICMP报文

路由器上打印如下：

从上面的打印我们看到发往本机的报文经过的钩子点为：

NF_BR_PRE_ROUTING->NFPROTO_BRIDGE->NFPROTO_BRIDGE

路由器给PC发一个ICMP报文

路由器上打印如下：

从上面的打印我们可以看到从本机发出去的报文经过的钩子点为：

NF_BR_PRE_ROUTING->NFPROTO_BRIDGE->NFPROTO_BRIDGE

理解了上面转发会经过的钩子点后，那么我们平常工作如何去定位问题呢，不可能每次都去编版本，对于我们桥转发，给我们提供了ebtables工具，也就是ebtalbes命令行去下发这些规则。

ebtables简单命令使用如下：

//查看我们nat表上挂的规则，可以看到报文个数
ebtables  -t  nat  -L --Lc

清除表上的规则可以用：

//-t 指定表，不加默认是filter表
ebtables -t nat  -F

假如我当前PC的IP地址为：192.168.1.142，需要确认我们协议栈的包是否送出去了，那么规则应该怎么下发呢？

我们可以先确认ICMP包是否进了PREROUTING, 规则如下：

//在 nat表的PREROUTING链加规则，如果源IP是192.168.1.142的ICMP允许通过
 ebtables  -t  nat  -A PREROUTING -p IPv4 --ip-proto icmp --ip-sr
c 192.168.1.142 -j ACCEPT

再确认是否从POSTROUTING发出去，规则如下：

//在nat表的POSTROUING链，源IP是192.168.1.142的ICMP我们允许通过
ebtables  -t  nat  -A POSTROUTING -p IPv4 --ip-proto icmp --ip-sr
c 192.168.1.142 -j ACCEPT

添加完，我们查看nat表的ebtables规则如下：

我的手机是IP为192.168.1.223，我ping一下手机，给手机发一个ICMP包

查看nat表的规则：

从上面的图，我们可以看到，我的PREROUTING和POSTROUTING链上的pcnt为1，也就是我的ICMP都经过了这两个钩子点

不悔哥
关注
linux内核协议栈 netfilter 之连接跟踪子系统AF_INET钩子函数
11-01 729
1连接跟踪子系统钩子函数概述 如《linux内核协议栈 netfilter 之 ip 层的 hook 注册概述以及 hook 的调用场景》中的1.4小结所述，为了支持连接跟踪子系统，AF_INET协议族在4个HOOK点共注册了8个钩子函数，每个HOOK点有两个。这些钩子函数可分为入口（PRE_ROUTING和LOCAL_IN）和出口（LOCAL_OUT和POST_ROUTING）两大类。 1.1数据包流向 在分析之前，我们再次回顾一下数据包在连接跟踪模块中的走向。 1.1.1 发往本地的数...
Linux Netfilter框架实现及函数调用处理过程
最新发布
mrtyxr的博客
01-26 1345
本身从事网络安全工作，具体为防火墙产品的开发，对Linux 内核而言，Linux 防火墙功能由Netfilter框架实现，因此有了对Linux内核Netfilter实现逻辑的学习研究的兴趣，也想借此平台和大家一起交流学习。
Linux 网络协议栈开发（五）—— 二层桥转发蓝图（上）
知秋一叶
01-14 3300
一、看一张桥转发时函数调用的一个基本蓝图。 这张图中，简单的展示了，数据的接收和发送，其中还包括netfilet的钩子点所处的位置。 需要说明的是： 1）.我们先暂时忽略数据包从一开始是怎么从驱动进入到netif_receive_skb的，因为这个暂时不影响我们理解这幅图的流程。 2）.由于桥转发的篇幅较大，图中没有标示出，数据包中途被丢弃的情况。约定数
【linux下的网桥（bridge）包过滤和地址转发】
zhaoyi40233的博客
08-09 2422
在linux中，网桥的包过滤和地址转发是两个网络功能，往往用于网络数据包的处理和转发。
Linux network — 网络层收发包流程及 Netfilter 框架浅析
一只立志于养老婆的程序猿
01-02 2792
本文主要对 Linux 系统内核协议栈中网络层接收，发送以及转发数据包的流程进行简要介绍，同时对 Netfilter 数据包过滤框架的基本原理以及使用方式进行简单阐述。Linux 网络协议栈是 Linux 内核中非常重要的子系统之一，虽然上层应用的开发维护工作极少涉及修改内核网络部分的工作，但了解其设计思想，基本工作原理，也可以为我们日常工作带来比较不少的帮助，特别是涉及到前后台网络交互，服务器网络性能相关的工作时。
linux-内核：netfilter框架
赵凯月的博客
06-23 1728
Netfilter/IPTables 是 Linux2.4.x 之后新一代的 Linux 防火墙机制，是linux内核的一个子系统。Netfilter 采用模块化设计，具有良好的可扩充性。其重要工具模块 IPTables 从用户态的 iptables 连接 到内核态的 Netfilter 的架构中 ， Netfilter 与 IP 协议栈是无缝契合的， 并允许使用者对数据报进行过滤、地址转换、处理等操作。主要源代码文件。
[netfilter]-ip_rcv包转发流程
n1wer的专栏
03-16 351
1,ip_rcv收到包之后,调用NF_HOOK,NF_HOOK首先调用nf_hook遍历NFPROTO_IPV4, NF_INET_PRE_ROUTING的钩子点上的hook,然后执行ip_rcv_finish 2,ip_rcv_finish调用首先调用查找路由获取rtable,得到input方法,对于RTN_LOCAL,input=ip_local_ip_local_deliver,非RTN_LOCAL,input=ip_forward;之后调用dst_input; 3,如果是RTN_LOCA...
Linux内核(一)：网桥转发与Netfilter初始化
afanx的博客
09-06 1738
文章目录概念模块初始化网桥网桥初始化Netfilter初始化HOOK钩子函数声明钩子函数注册函数HOOK点支持的协议优先级返回值各种钩子函数转发流程二层网桥转发 概念 RCU机制：Linux的同步机制，读-拷贝修改。原理是，RCU保护的共享数据结构，读者不需要锁，写者要写的时候先拷贝一份副本，修改副本，等到没有读者读原数据之后，将指向原数据的指针改为指向副本。允许多个读者同时访问被保护数据，是否允许多个写者并行访问取决于写者间的同步机制。 RTNL互斥锁：内核的接口很多都显式的要求在rtnl lock的保
netfilter 五个钩子点实现SNAT和DNAT的方案
08-02
标题中的“netfilter 五个钩子点实现SNAT和DNAT的方案”指的是在Linux内核的网络包过滤框架netfilter中，通过五个不同的钩子点来实现源网络地址转换（Source Network Address Translation, SNAT）和目的网络地址转换...
Linux 操作系统原理 — netfilter/iptables 流量处理框架
烟云的计算
05-25 2191
即：内网 IP 地址向外访问 Internet 时，发起访问的内网 IP 地址转换为指定的对外 IP 地址（可指定具体的服务以及相应的端口或端口范围），这使内网的多部主机可以通过同一个有效的公网 IP 地址访问外部网络。IP 网络有公网与私网的区分，企业内网使用私网 IP，Internet 使用公网 IP。DNAT（Destination Network Transform，目的地址转换）与 SNAT 相对，当外部网络访问内部网络时，进来的 IP 数据包会被改变 dstIP 地址。
深入Linux网络核心堆栈 netfilter详解.doc
06-20
数据包在Linux内核中通过网络堆栈时会经过多个hook点。在IPv4中，主要的Netfilter钩子包括： - PREROUTING：数据包进入网络栈，但尚未到达目标主机。 - INPUT：数据包的目标是本地主机。 - FORWARD：数据包通过...
Linux 网桥代码分析 六 网桥数据转发函数分析
lickylin的专栏
03-06 9665
对于数据包转发函数，主要是分为两大类：数据转发到指定端口、数据扩散到所有端口。   下面就从这两方面进行分析： 一  数据转发到指定端口 对于数据转发到指定端口的功能，也可以分为两个方面：对入口流量进行的数据转发、 对出口流量进行的数据转发   入口流量很好理解：就是桥组中的一个网桥端口接收了数据包，经过网卡驱动后经由函数netif_receive_skb、handle_bridge
linux bridge - mac转发
fengcai_ke的博客
07-19 1927
linux bridge实现分析
linux网桥如何转发数据包,Linux内核bridge中的数据包处理流程
weixin_32672471的博客
05-12 1711
1. 前言本文简要介绍数据包在进入桥网卡后在Linux网络协议栈的处理流程，并描述netfilter的hook点的挂接处理情况，具体各部分的详细处理待后续文章中说明。以下内核代码版本为2.6.19.2.2. 函数处理流程bridge入口点handle_bridge()/* net/core/dev.c */int netif_receive_skb(struct sk_buff *skb){......
Linux 网络协议栈开发（六）—— 二层桥转发蓝图（下）
知秋一叶
01-14 3632
上一节我们了解到，数据包如何走进桥，这一节我们简单看看，入口帧处理函数br_handle_frame_finish.   作用：br_handle_frame_finish函数主要是决策将不同类别的数据包做不同的分发路径。 其函数处理的过程如下图所示： 首先判断该数据包是否符合桥转发的条件： (1)桥端口状态是否是开启状态，如果没有开启则丢掉数据
Linux bridge 网桥模块内部数据包转发流程
清水
10-31 4348
由Br_handle_frame_hook()从netif_receive_skb()获取数据包后，在bridge module 内部数据包的处理流程如下图:                                                                                                                     br
Linux 网络协议栈开发（二）—— 二层桥转发基础
知秋一叶
01-14 5833
做为网络设备，二层转发是最基本的功能。要想继续学习linux 内核协议栈，必须明白二层转发的流程。这篇文章举例讲一讲二层转发的流程。   二层转发是根据报文的目的MAC直接进行转发，转发过程中不用对报文的头部做任何的修改。   三层转发是根据报文的ip 地址来进行转发，并且要对报文的二层头部进行相应的修改。   进行二层转发的设备一般叫做网桥（bridge)。桥可以是
Linux Netfilter规则与机制详解
而动作则决定了数据包在经过规则后如何处理，例如转发、丢弃或进行地址转换。 再者，钩子函数的存储和管理机制也是理解 Netfilter 进程的关键。钩子函数是在数据包处理的不同阶段执行的操作，如在数据包到达、离开...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值