netfilter_netfilter 锁开销_netfilter iptables(6)

对于我们本章的分析而言，主要是以“Linux做为一个网关主机，转发过往数据”为主线，更多关注的是在NF_IP_PRE_ROUTING和NF_IP_POSTROUTING两个Hook点上注册的两个钩子函数ip_conntrack_in和ip_refrag(这个函数主要执行的是ip_confirm函数)。

钩子的注册的另一个值得注意的小问题，就是钩子函数的优先级，NF_IP_PRE_ROUTING上的优先级是NF_IP_PRI_CONNTRACK，意味着它的优先级是很高的，这也意味着每个输入数据包首先被传输到连接跟踪模块，才会进入其它优先级较低的模块。同样地，NF_IP_POSTROUTING上的优先级为NF_IP_PRI_CONNTRACK_CONFIRM，优先级是很低的，也就是说，等到其它优先级高的模块处理完成后，才会做最后的处理，然后将数据包送出去。

4.ip_conntrack_in

数据包进入Netfilter后，会调用ip_conntrack_in函数，以进入连接跟踪模块，ip_conntrack_in主要完成的工作就是判断数据包是否已在连接跟踪表中，如果不在，则为数据包分配ip_conntrack，并初始化它，然后，为这个数据包设置连接状态。

/* Netfilter hook itself. */

unsigned int ip_conntrack_in(unsigned int hooknum,

			     struct sk_buff **pskb,

			     const struct net_device *in,

			     const struct net_device *out,

			     int (*okfn)(struct sk_buff *))

{

	struct ip_conntrack *ct;

	enum ip_conntrack_info ctinfo;

	struct ip_conntrack_protocol *proto;

	int set_reply;

	int ret;



	/* 判断当前数据包是否已被检查过了 */

	if ((*pskb)->nfct) {

		CONNTRACK_STAT_INC(ignore);

		return NF_ACCEPT;

	}



/* 分片包当会在前一个Hook中被处理，事实上，并不会触发该条件 */

	if ((*pskb)->nh.iph->frag_off & htons(IP_OFFSET)) {

		if (net_ratelimit()) {

		printk(KERN_ERR "ip_conntrack_in: Frag of proto %u (hook=%u)\n",

		       (*pskb)->nh.iph->protocol, hooknum);

		}

		return NF_DROP;

	}



/* 将当前数据包设置为未修改 */

	(*pskb)->nfcache |= NFC_UNKNOWN;



/*根据当前数据包的协议，查找与之相应的struct ip_conntrack_protocol结构*/

	proto = ip_ct_find_proto((*pskb)->nh.iph->protocol);



	/* 没有找到对应的协议. */

	if (proto->error != NULL 

	    && (ret = proto->error(*pskb, &ctinfo, hooknum)) <= 0) {

		CONNTRACK_STAT_INC(error);

		CONNTRACK_STAT_INC(invalid);

		return -ret;

	}



/*在全局的连接表中，查找与当前包相匹配的连接结构，返回的是struct ip_conntrack *类型指针，它用于描述一个数据包的连接状态*/

	if (!(ct = resolve_normal_ct(*pskb, proto,&set_reply,hooknum,&ctinfo))) {

		/* Not valid part of a connection */

		CONNTRACK_STAT_INC(invalid);

		return NF_ACCEPT;

	}



	if (IS_ERR(ct)) {

		/* Too stressed to deal. */

		CONNTRACK_STAT_INC(drop);

		return NF_DROP;

	}



	IP_NF_ASSERT((*pskb)->nfct);



/*Packet函数指针，为数据包返回一个判断，如果数据包不是连接中有效的部分，返回-1，否则返回NF_ACCEPT。*/

	ret = proto->packet(ct, *pskb, ctinfo);

	if (ret < 0) {

		/* Invalid: inverse of the return code tells

		 * the netfilter core what to do*/

		nf_conntrack_put((*pskb)->nfct);

		(*pskb)->nfct = NULL;

		CONNTRACK_STAT_INC(invalid);

		return -ret;

	}



/*设置应答状态标志位*/

	if (set_reply)

		set_bit(IPS_SEEN_REPLY_BIT, &ct->status);



	return ret;

}

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-31885-6.html