一直以来都被什么表什么链搞的糊涂,今天终于整理清楚了。
我们清楚的是iptables内置了几个table,也就是表,默认表有filter、nat和mangle,应该还有raw和security表。对应的是什么呢?就是netfilter中的enum nf_ip_hook_priorities,例如filter注册的netfilter钩子的优先级就是NF_IP_PRI_FILTER,和优先级一一对应。这就是所谓的表table。
那什么是链?chain?我们知道netfilter中有五个钩子点,分别叫NF_IP_PRE_ROUTING、NF_IP_LOCAL_IN、NF_IP_FORWARD、NF_IP_LOCAL_OUT和NF_IP_POST_ROUTING。数据包通过时就会通过这些点中的部分,而对应的iptables规则最终也是挂在这些点上的,例如数据包进入是一定会过NF_IP_PRE_ROUTING,那么一次会按照优先级执行对应的钩子函数,那么就有可能执行我们刚才注册的函数。也就是说一个规则的执行首先要看它是在哪个链上,其次是在哪个表上,表就是优先级,链就是钩子点。
以前写的netfilter模块,最后直接注册到netfilter中,其实和这些表是平级的,只不过filter表中可能做的事情规则会很多,当然你写的模块也可以哦。具体iptables规则是怎么最后组织的,这里就不分析了,太大了,但是知道这个以后,那么你就可以进一步分析了,当然你也可能就是不管这些,直接自己写模块挂载,不迷糊了才好办事。
如果还不是特别明白,那看这个函数ipt_do_table,这个函数是具体执行规则的,看一下这个函数在哪里被调用,就知道是具体哪个函数被注册到netfilter中,就可以知道是怎么注册的。
暂时不想分析iptables了,关于netfilter,也不是特别想看,哎,网络协议栈难道就到这了?