LINUX netfilter 一些备忘知识

netfilter机制就不详述了，只想纪录一下做netfilter实验时，一些迷惑、不太确定答案的地方。

1.通过tun虚设备通信

    虚拟设备肯定得依靠内核，也会被内核模块hook到。

2.通过raw_socket发包

    int sockfd = socket(PF_INET, SOCK_PACKET, htons(ETH_P_ALL));

    通过上述类型的创建的socket，调用sendto()向物理网卡发包，

    即便挂载到NF_INET_LOCAL_OUT,  NF_INET_POST_ROUTING，也是hook不到包的。

3.无IP/无协议栈模式

    物理网卡不设IP地址，不启用协议栈，使用libpcap、tcpdump等工具可以收到数据包。

    这又分为几种情况:

    3.1 目标MAC是本机MAC

          在NF_INET_PRE_ROUTING可以hook到数据包，但在NF_INET_LOCAL_IN不可以。

    3.2 目标MAC不是本机MAC

          在任意hook点都获取不到数据包。