(十二)洞悉linux下的Netfilter&iptables：iptables命令行工具源码解析【下】

iptables用户空间和内核空间的交互

iptables目前已经支持IPv4和IPv6两个版本了，因此它在实现上也需要同时兼容这两个版本。iptables-1.4.0在这方面做了很好的设计，主要是由libiptc库来实现。libiptc是iptables control library的简称，是Netfilter的一个编程接口，通常被用来显示、操作(查询、修改、添加和删除)netfilter的规则和策略等。使用libipq库和ip_queue模块，几乎可以实现任何在内核中所实现的功能。

        libiptc库位于iptables源码包里的libiptc目录下，共六个文件还是比较容易理解。我们都知道，运行在用户上下文环境中的代码是可以阻塞的，这样，便可以使用消息队列和 UNIX 域套接字来实现内核态与用户态的通信。但这些方法的数据传输效率较低，Linux 内核提供 copy_from_user()/copy_to_user() 函数来实现内核态与用户态数据的拷贝，但这两个函数会引发阻塞，所以不能用在硬、软中断中。一般将这两个特殊拷贝函数用在类似于系统调用一类的函数中，此类函数在使用中往往"穿梭"于内核态与用户态。此类方法的工作原理为：

 

        其中相关的系统调用是需要用户自行编写并载入内核。一般情况都是，内核模块注册一组设置套接字选项的函数使得用户空间进程可以调用此组函数对内核态数据进行读写。我们的libiptc库正是基于这种方式实现了用户空间和内核空间数据的交换。

    为了后面便于理解，这里我们简单了解一下在socket编程中经常要接触的两个函数：

int setsockopt(int sockfd, int proto, int cmd, void *data, int datalen)

int getsockopt(int sockfd, int proto, int cmd, void *data, int datalen)

这个两个函数用来控制相关socket文件描述符的一些选项值，如设置(获取)接受或发送缓冲区的大小、设置(获取)接受或发送超时值、允许(禁止)重用本地端口和地址等等。

参数说明：

sockfd：为socket的文件描述符；

proto：sock协议，IP RAW的就用SOL_SOCKET/SOL_IP等，TCP/UDP socket的可用SOL_SOCKET/SOL_IP/SOL_TCP/SOL_UDP等，即高层的socket是都可以使用低层socket的命令字 的；

cmd：操作命令字，由自己定义，一般用于扩充；

data：数据缓冲区起始位置指针，set操作时是将缓冲区数据写入内核，get的时候是将内核中的数据读入该缓冲区；

datalen：参数data中的数据长度。

 

我们可以通过扩充新的命令字(即前面的cmd字段)来实现特殊应用程序的内核与用户空间的数据交换，内核实现新的sockopt命令字有两类：一类是添加完整的新的协议后引入；一类是在原有协议命令集的基础上增加新的命令字。以netfilter为例,它就是在原有的基础上扩展命令字，实现了内核与用户空间的数据交换。Netfilter新定义的命令字如下：

setsockopt新增命令字：

#define IPT_SO_SET_REPLACE //设置规则

#define IPT_SO_SET_ADD_COUNTERS   //加入计数器

getsockopt新增命令字;

#define IPT_SO_GET_INFO               //获取ipt_info

#define IPT_SO_GET_ENTRIES         //获取规则

#define IPT_SO_GET_REVISION_MATCH //获取match

#define IPT_SO_GET_REVISION_TARGET      //获取target

       一个标准的setsockopt()操作的调用流程如下：

 

在ip_setsockopt调用时，如果发现是一个没有定义的协议，并且判断现在这个optname是否为netfilter所设置，如果是则调用netfilter所设置的特殊处理函数，于是加入netfilter对sockopt特殊处理后，新的流程如下：

 

        netfitler对于会实例化一些struct nf_sockopt_ops{}对象，然后通过nf_register_sockopt()将其注册到全局链表nf_sockopts里。

struct nf_sockopt_ops {          struct list_head list;          int pf;            /* Non-inclusive ranges: use 0/0/NULL to never get called. */          int set_optmin;          int set_optmax;          int (*set)(struct sock *sk, int optval, void __user *user, unsigned int len);          int (*compat_set)(struct sock *sk, int optval,void __user *user, unsigned int len);            int get_optmin;          int get_optmax;          int (*get)(struct sock *sk, int optval, void __user *user, int *len);          int (*compat_get)(struct sock *sk, int optval,void __user *user, int *len);            /* Number of users inside set() or get(). */          unsigned int use;          struct task_struct *cleanup_task; };

 

         继续回到libiptc中。libiptc库中的所有函数均以“iptc_”开头，主要有下面一些接口(节选自libiptc.h)：

typedef struct iptc_handle *iptc_handle_t;   /* Does this chain exist? */ int iptc_is_chain(const char *chain, const iptc_handle_t handle);   /* Take a snapshot of the rules.  Returns NULL on error. */ iptc_handle_t iptc_init(const char *tablename);   /* Cleanup after iptc_init(). */ void iptc_free(iptc_handle_t *h);   /* Iterator functions to run through the chains.  Returns NULL at end. */ const char *iptc_first_chain(iptc_handle_t *handle); const char *iptc_next_chain(iptc_handle_t *handle);   /* Get first rule in the given chain: NULL for empty chain. */ const struct ipt_entry *iptc_first_rule(const char *chain,iptc_handle_t *handle); /* Returns NULL when rules run out. */ const struct ipt_entry *iptc_next_rule(const struct ipt_entry *prev,iptc_handle_t *handle);