netfilter_netfilter 锁开销_netfilter iptables(2)

/* The manipulable part of the tuple. */

struct ip_conntrack_manip

{

	u_int32_t ip;

	union ip_conntrack_manip_proto u;

};

/* This contains the information to distinguish a connection. */

struct ip_conntrack_tuple

{

	struct ip_conntrack_manip src;



	/* These are the parts of the tuple which are fixed. */

	struct {

		u_int32_t ip;

		union {

			/* Add other protocols here. */

			u_int16_t all;



			struct {

				u_int16_t port;

			} tcp;

			struct {

				u_int16_t port;

			} udp;

			struct {

				u_int8_t type, code;

			} icmp;

			struct {

				u_int16_t port;

			} sctp;

		} u;



		/* The protocol. */

		u_int8_t protonum;



		/* The direction (for tuplehash) */

		u_int8_t dir;

	} dst;

};

structip_conntrack_tuple中仅包含了src、dst两个成员，这两个成员基本一致：包含ip以及各个协议的端口，值得注意的是，dst成员中有一个dir成员，dir是direction的缩写，标识一个连接的方向，后面我们会看到它的用法。

tuple结构仅仅是一个数据包的转换，并不是描述一条完整的连接状态，内核中，描述一个包的连接状态，使用了structip_conntrack结构，可以在ip_conntrack.h中看到它的定义：

struct ip_conntrack

{

	……

	/* These are my tuples; original and reply */

	struct ip_conntrack_tuple_hash tuplehash[IP_CT_DIR_MAX];

};

这里仅仅是分析hash表的实现，所以，我们仅需注意structip_conntrack结构的最后一个成员tuplehash，它是一个structip_conntrack_tuple_hash类型的数组，我们前面说了，该结构描述链表中的节点，这个数组包含“初始”和“应答”两个成员（tuplehash[IP_CT_DIR_ORIGINAL]和tuplehash[IP_CT_DIR_REPLY]），所以，当一个数据包进入连接跟踪模块后，先根据这个数据包的套接字对转换成一个“初始的”tuple，赋值给tuplehash[IP_CT_DIR_ORIGINAL]，然后对这个数据包“取反”，计算出“应答”的tuple，赋值给tuplehash[IP_CT_DIR_REPLY]，这样，一条完整的连接已经跃然纸上了。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-31885-2.html