30、Netfilter 框架：IPTables 与 NAT 深入解析

Netfilter 框架：IPTables 与 NAT 深入解析

一、Netfilter 基础与 Xtables 扩展

Netfilter 是 Linux 内核中强大的网络过滤框架，在网络数据包处理方面发挥着关键作用。在这个框架里，CT 目标（ net/netfilter/xt_CT.c ）是在 2.6.34 内核版本中添加的。

Xtables 扩展是 Netfilter 的重要组成部分，它分为目标扩展和匹配扩展。目标扩展由 xt_target 结构表示，单个目标通过 xt_register_target() 方法注册，目标数组则使用 xt_register_targets() 方法注册。匹配扩展由 xt_match 结构表示，单个匹配通过 xt_register_match() 方法注册，匹配数组使用 xt_register_matches() 方法注册。匹配扩展会根据匹配扩展模块定义的标准来检查数据包，例如 xt_length 匹配模块（ net/netfilter/xt_length.c ）会根据数据包的长度（对于 IPv4 数据包，是 SKB 的 tot_len ）进行检查， xt_connlimit 模块（ net/netfilter/xt_connlimit.c ）会限制每个 IP 地址的并行 TCP 连接数量。