Netfilter 框架分析(kernel 2.6.22)（转）

Linux 为每一个经过网络堆栈的数据连接生成一个连接记录项，用于记录这个连接独特的信息，例如远程IP，本地IP，通信端口等等。记录建立好后，属于这个连接的所有数据包都将只是匹配这个连接记录项，而不是再生成一个新的记录。

在内核的协议栈上设置了多个钩子点，其中
发给本机的包流经NF_IP_PRE_ROUTING、NF_IP_LOCAL_IN
本机发出的包流经NF_IP_LOCAL_OUT、NF_IP_POST_ROUTING
本机转发的包流经NF_IP_PRE_ROUTING、NF_IP_POST_ROUTING

netfileter用一个连接跟踪表来记录所有的连接（已建立的或则是即将建立的），这个表是用hash算法实现的，定义在nf_conntrack_core.c中
struct list_head * nf_conntrack_hash __read_mostly;（这个__read_mostly意义不是很清楚）
表可以容纳的表项数用一个全局变量定义
unsigned int nf_conntrack_htable_size __read_mostly;
每个表项自己又是一条链表的首部，连接跟踪表的总大小用一个全局变量定义
int nf_conntrack_max __read_mostly;
表项的节点结构为
struct nf_conntrack_tuple_hash
{
   struct list_head list;
   struct nf_conntrack_tuple tuple;
};
其中的nf_conntrack_tuple用来描述具体的连接。
/* This contains the information to distinguish a connection. */
struct nf_conntrack_tuple
{
        struct nf_conntrack_man src;

        /* These are the parts of the tuple which are fixed. */
        struct {
                union nf_conntrack_address u3;
                union {
                        /* Add other protocols here. */
                        u_int16_t all;

                        struct {
                                __be16 port;
                        } tcp;
                        struct {
                                __be16 port;
                        } udp;
                        struct {
                                u_int8_t type, code;
                        } icmp;
                        struct {
                                __be16 port;
                        } sctp;
                        struct {
                                __be16 key;
                        } gre;
                } u;

                /* The protocol. */
                u_int8_t protonum;

                /* The direction (for tuplehash) */
                u_int8_t dir;
        } dst;
};
里面第一个结构nf_conntrack_man表示的是可以定制的部分，一般来说也就是包的源部分(比如NAT用）
/* The l3 protocol-specific manipulable parts of the tuple: always in
   network order! */
union nf_conntrack_address {
        u_int32_t all[NF_CT_TUPLE_L3SIZE];
        __be32 ip;
        __be32 ip6[4];
};

/* The protocol-specific manipulable parts of the tuple: always in
   network order! */
union nf_conntrack_man_proto
{
        /* Add other protocols here. */
        u_int16_t all;

        struct {
                __be16 port;
        } tcp;
        struct {
                __be16 port;
        } udp;
        struct {
                __be16 id;
        } icmp;
        struct {
                __be16 port;
        } sctp;
        struct {
                __be16 key;     /* GRE key is 32bit, PPtP only uses 16bit */
        } gre;
};

/* The manipulable part of the tuple. */
struct nf_conntrack_man
{
        union nf_conntrack_address u3;
        union nf_conntrack_man_proto u;
        /* Layer 3 protocol */
        u_int16_t l3num;
};
注意到dst中有个变量dir，它主要用于标识一个连接的方向。

内核用一个结构struct nf_conn描述一个连接
struct nf_conn
{
        /* Usage count in here is 1 for hash table/destruct timer, 1 per skb,
           plus 1 for any connection(s) we are `master' for */
        struct nf_conntrack ct_general;

        /* XXX should I move this to the tail ? - Y.K */
        /* These are my tuples; original and reply */
        struct nf_conntrack_tuple_hash tuplehash[IP_CT_DIR_MAX];

        /* Have we seen traffic both ways yet? (bitset) */
        unsigned long status;

        /* If we were expected by an expectation, this will be it */
        struct nf_conn *master;

        /* Timer function; drops refcnt when it goes off. */
        struct timer_list timeout;

#ifdef CONFIG_NF_CT_ACCT
        /* Accounting Information (same cache line as other written members) */
        struct ip_conntrack_counter counters[IP_CT_DIR_MAX];
#endif

        /* Unique ID that identifies this conntrack*/
        unsigned int id;

        /* features - nat, helper, ... used by allocating system */
        u_int32_t features;

#if defined(CONFIG_NF_CONNTRACK_MARK)
        u_int32_t mark;
#endif

#ifdef CONFIG_NF_CONNTRACK_SECMARK
        u_int32_t secmark;
#endif

        /* Storage reserved for other modules: */
        union nf_conntrack_proto proto;

        /* features dynamically at the end: helper, nat (both optional) */
        char data[0];
};
注意里面的struct nf_conntrack_tuple_hash tuplehash[IP_CT_DIR_MAX]， 它描述的是这个连接orig包与replay包的特性，每个数据包都会被转成nf_conntrack_tuple然后跟这个数据中的成员比较（一帮就 orig跟replay），以确定是否属于这个连接。每个数据报被转成tuple后，内核会根据这个tuple算出hash值，然后用这个hash值找对 应的跟踪记录nf_conntrack_hash[hash]，如果没有，呢就表明这个包来自一个新连接。内核会新添加一条跟踪记录。