Linux netfilter 学习笔记 之二 ip 层netfilter的hook 注册以及执行hook函数的概要分析

基于linux2.6.21

上一节分析了hook机制，本节简单介绍下三层防火墙借助hook机制，实现的总体框架

 

1 三层netfilter hook点的注册与注销

我们知道使用iptables，添加规则时需要指定表，在iptables中有filter、nat、mangle三张表，因为我们接下来几节分析的内容也是从这三个table表加上连接跟踪，此处我们也已这四个模块来将，而不是按HOOK点的分类来分析

1.1 filter机制相关的hook注册注册

Filter表主要在以下几个hook点上其作用：

NF_IP_LOCAL_IN、NF_IP_FORWARD、NF_IP_LOCAL_OUT

即只在数据包的接收、数据包的发送及数据包的转发时进行过滤，filter表相关的hook点的注册是在iptables filter模块初始化时注册的，定义的hook_ops结构体变量如下：

static struct nf_hook_ops ipt_ops[] = {

{

.hook= ipt_hook,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_IN,

.priority= NF_IP_PRI_FILTER,

},

{

.hook= ipt_hook,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_FORWARD,

.priority= NF_IP_PRI_FILTER,

},

{

.hook= ipt_local_out_hook,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_OUT,

.priority= NF_IP_PRI_FILTER,

},

};

通过上面的定义我们知道，相应的hook函数分别为ipt_hook、ipt_local_out_hook（关于这两个函数的具体执行过程暂且不分析，后面分析）。

然后通过调用nf_register_hook进行注册，调用nf_unregister_hook进行注销

 

1.2 nat机制相关的hook注册注册

 

nat表主要在以下几个hook点上其作用：

NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING、NF_IP_LOCAL_OUT、NF_IP_LOCAL_IN

其中NF_IP_PRE_ROUTING、NF_IP_LOCAL_OUT为目的地址转发，而NF_IP_POST_ROUTING、NF_IP_LOCAL_IN为源地址转换。

 

/* Before packet filtering, change destination */

static struct nf_hook_ops ip_nat_in_ops = {

.hook= ip_nat_in,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_PRE_ROUTING,

.priority= NF_IP_PRI_NAT_DST,

};

 

/* After packet filtering, change source */

static struct nf_hook_ops ip_nat_out_ops = {

.hook= ip_nat_out,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_POST_ROUTING,

.priority= NF_IP_PRI_NAT_SRC,

};

 

/* After conntrack, adjust sequence number */

static struct nf_hook_ops ip_nat_adjust_out_ops = {

.hook= ip_nat_adjust,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_POST_ROUTING,

.priority= NF_IP_PRI_NAT_SEQ_ADJUST,

};

 

/* Before packet filtering, change destination */

static struct nf_hook_ops ip_nat_local_out_ops = {

.hook= ip_nat_local_fn,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_OUT,

.priority= NF_IP_PRI_NAT_DST,

};

 

/* After packet filtering, change source for reply packets of LOCAL_OUT DNAT */

static struct nf_hook_ops ip_nat_local_in_ops = {

.hook= ip_nat_fn,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_IN,

.priority= NF_IP_PRI_NAT_SRC,

};

 

/* After conntrack, adjust sequence number */

static struct nf_hook_ops ip_nat_adjust_in_ops = {

.hook= ip_nat_adjust,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_IN,

.priority= NF_IP_PRI_NAT_SEQ_ADJUST,

};

 

1.3 mangle机制相关的hook注册与注销

 

主要定义了以下个hook_ops变量，mangle表主要在NF_IP_PRE_ROUTING、NF_IP_LOCAL_IN、NF_IP_FORWARD、NF_IP_LOCAL_OUT、NF_IP_POST_ROUTING等hook点起作用

static struct nf_hook_ops ipt_ops[] = {

{

.hook= ipt_route_hook,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_PRE_ROUTING, 

.priority= NF_IP_PRI_MANGLE,

},

{

.hook= ipt_route_hook,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_IN,

.priority= NF_IP_PRI_MANGLE,

},

{

.hook= ipt_route_hook,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_FORWARD,

.priority= NF_IP_PRI_MANGLE,

},

{

.hook= ipt_local_hook,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_OUT,

.priority= NF_IP_PRI_MANGLE,

},

{

.hook= ipt_route_hook,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_POST_ROUTING,

.priority= NF_IP_PRI_MANGLE,

},

};

 

1.4 连接跟踪模块相关的hook注册与注销

 

主要定义了以下个hook_ops变量，连接跟踪模块主要在NF_IP_PRE_ROUTING、NF_IP_LOCAL_IN、、NF_IP_LOCAL_OUT、NF_IP_POST_ROUTING等hook点起作用，连接跟踪模块是实现nat的基础，也是实现ALG功能的基础。

static struct nf_hook_ops ip_conntrack_defrag_ops = {

.hook= ip_conntrack_defrag,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_PRE_ROUTING,

.priority= NF_IP_PRI_CONNTRACK_DEFRAG,

};

 

static struct nf_hook_ops ip_conntrack_in_ops = {

.hook= ip_conntrack_in,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_PRE_ROUTING,

.priority= NF_IP_PRI_CONNTRACK,

};

 

static struct nf_hook_ops ip_conntrack_defrag_local_out_ops = {

.hook= ip_conntrack_defrag,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_OUT,

.priority= NF_IP_PRI_CONNTRACK_DEFRAG,

};

 

static struct nf_hook_ops ip_conntrack_local_out_ops = {

.hook= ip_conntrack_local,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_OUT,

.priority= NF_IP_PRI_CONNTRACK,

};

 

/* helpers */

static struct nf_hook_ops ip_conntrack_helper_out_ops = {

.hook= ip_conntrack_help,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_POST_ROUTING,

.priority= NF_IP_PRI_CONNTRACK_HELPER,

};

 

static struct nf_hook_ops ip_conntrack_helper_in_ops = {

.hook= ip_conntrack_help,

.owner= THIS_MODULE,

.pf= PF_INET,

.hooknum= NF_IP_LOCAL_IN,

.priority= NF_IP_PRI_CONNTRACK_HELPER,

};

 

 

2 三层netfilter hook点的调用

 

上面是三层netfilter相关的hook点的注册，下面我们需要知道三层netfilter的hook回调函数是在哪些函数里调用的。我们主要分析ip协议在五个hook点的调用

 

 

上图便是五个hook点调用的地方，对应于代码，我们来分析一下。

 

2.1 PRE_ROUTING 

看这个名字，我们知道在这里执行hook回调函数时，数据包还没有经过路由，对于ip报文来说，在ip_rcv函数里，只是对数据包进行了合理性检查，还没有对数据包进行查找路由操作，所以PRE_ROUTINGhook点的回调函数的调用，即是在该函数的末尾通过调用函数NF_HOOK实现

return NF_HOOK(PF_INET, NF_IP_PRE_ROUTING, skb, dev, NULL,

       ip_rcv_finish);

 

2.2 LOCAL_IN

当进入该hook点之前，数据包已经进行了路由操作，通过对协议栈的流程分析我们知道，在 ip_rcv_finish进行了路由选择后，对于属于本地接收的报文会调用函数ip_local_deliver，那很显然，LOCAL_IN HOOK点的回调函数的调用执行，肯定是在这个函数的末尾执行的了。函数片断如下：

 

return NF_HOOK(PF_INET, NF_IP_LOCAL_IN, skb, skb->dev, NULL,

       ip_local_deliver_finish);

 

2.3 FORWARD

在进行了路由后，对于需要转发的数据，通过调用函数dst_input(skb)，间接调用函数 ip_forward进行数据转发操作（关于为何会调用到ip_forward及ip_local_deliver，这是通过建立路由缓存时填充dst_entry指针实现的）。所以该HOOK点的hook回调函数的执行也是在该函数的末尾通过调用NF_HOOK实现的。

return NF_HOOK(PF_INET, NF_IP_FORWARD, skb, skb->dev, rt->u.dst.dev,

       ip_forward_finish);

 

 

2.4 LOCAL_OUT

对于该hook点，是本地发送数据的hook调用，由于本地发送的数据既可以是UDP数据也可以是TCP数据，亦可以是组播数据。所以OUThook点的调用函数不止一处。其代码书写如下：

return NF_HOOK(PF_INET, NF_IP_LOCAL_OUT, skb, NULL, rt->u.dst.dev,

       dst_output);

 

一般是本地数据找到路由之后，且没有调用skb->dst.out准备将数据包发送出去之前调用NF_HOOK

2.5 POST_ROUTING

 

在函数经过了FORWARD或者OUT节点后，就会通过skb->dst.out,执行到函数ip_output，所以函数

 

return NF_HOOK_COND(PF_INET, NF_IP_POST_ROUTING, skb, NULL, dev,

            ip_finish_output,

    !(IPCB(skb)->flags & IPSKB_REROUTED));

 

 

 

以上就是ip层netfilter涉及的hook_ops的注册以及调用，后面我们分析的xt_table表中的规则匹配、连接跟踪、nat操作、mangle操作，均是由上面五个hook点的NF_HOOK函数的调用而触发的。以下章节则侧重于表匹配、连接跟踪、nat转换的实现分析。本节将总的调用起点分析了一下，后面我们将针对每一个模块的实现进行分析。