分类: LINUX
2011-01-05 14:38:45
网络地址转换源(NAT)分为(Source NAT,SNAT)和目的NAT(Destination NAT, DNAT)2种不同的类型。SNAT是指修改数据包的源地址(改变连接的源IP)。SNAT会在数据包送出之前的最后一刻做好转工作。地址伪装 (Masquerading)是SNAT的一种特殊形式。DNAT 是指修改数据包的目标地址(改变连接的目的IP)。DNAT 总是在数据包进入以后立即转发,端口转发,负载平衡和透明代理都属于DNAT。下面介绍下NAT的流程:
6.1 NAT机制流程
这个流程需要说明的是,如果这是一个新的连接跟踪,那么hook操作会操作NAT表,寻找对应的规则进行处理,如果这个连接不是新的连接,即连接跟踪已经记录并且NAT已经更改过连接的源地址,那么hook操作会直接调用nf_nat_packet来修改报文的目的地址,这个不同于DNAT,它都是在SNAT中完成。也就是说netfilter中所有的NAT操作都可以通过一次NAT设置完成,也就是说NAT会自动帮我们判断另一个方向的报文。
进一步分析nf_nat_rule_find的工作流程如下:
、重要数据结构
1、两种不同的对IP操作类型
enum nf_nat_manip_type
{
IP_NAT_MANIP_SRC,//修改报文的源地址
IP_NAT_MANIP_DST//修改报文的目的地址
};
1、 NAT的范围
主要是IP地址的范围和端口的范围。
struct nf_nat_range
{
/* Set to OR of flags above. */
unsigned int flags;
/* Inclusive: network order. */
__be32 min_ip, max_ip;//IP地址范围
/* Inclusive: network order */
union nf_conntrack_man_proto min, max;//端口范围
};
2、 内嵌在nf_conn的结构
此结构体内嵌在成员变量struct nf_ct_ext *ext中。
struct nf_conn_nat
{
struct hlist_node bysource;
struct nf_nat_seq seq[IP_CT_DIR_MAX];
struct nf_conn *ct;
union nf_conntrack_nat_help help;
#if defined(CONFIG_IP_NF_TARGET_MASQUERADE) || \
defined(CONFIG_IP_NF_TARGET_MASQUERADE_MODULE)
int masq_index;
#endif
};
3、 协议相关结构
与连接跟踪机制类似,NAT也定义了一些与协议相关的操作。
struct nf_nat_protocol
{
/* 协议号 */
unsigned int protonum;
struct module *me;
/* 根据sk_buff和maniptype来设定tuple.
Return true if succeeded. */
bool (*manip_pkt)(struct sk_buff *skb,
unsigned int iphdroff,
const struct nf_conntrack_tuple *tuple,
enum nf_nat_manip_type maniptype);
/* 判断所操作部分的范围 */
bool (*in_range)(const struct nf_conntrack_tuple *tuple,
enum nf_nat_manip_type maniptype,
const union nf_conntrack_man_proto *min,
const union nf_conntrack_man_proto *max);
/* 将协议相关部分设置到tuple当中*/
bool (*unique_tuple)(struct nf_conntrack_tuple *tuple,
const struct nf_nat_range *range,
enum nf_nat_manip_type maniptype,
const struct nf_conn *ct);
int (*range_to_nlattr)(struct sk_buff *skb,
const struct nf_nat_range *range);
int (*nlattr_to_range)(struct nlattr *tb[],
struct nf_nat_range *range);
};
/*此函数的主要作用就是根据iptable的设置NAT信息,为连接跟踪选择合适的ip
*和端口,并更改NAT对应的连接跟踪
*/
static void
get_unique_tuple(struct nf_conntrack_tuple *tuple,
const struct nf_conntrack_tuple *orig_tuple,
const struct nf_nat_range *range,
struct nf_conn *ct,
enum nf_nat_manip_type maniptype)
{
struct net *net = nf_ct_net(ct);
const struct nf_nat_protocol *proto;
/* 1) If this srcip/proto/src-proto-part is currently mapped,
and that same mapping gives a unique tuple within the given
range, use that.
This is only required for source (ie. NAT/masq) mappings.
So far, we don't do local source mappings, so multiple
manips not an issue. */
if (maniptype == IP_NAT_MANIP_SRC &&
!(range->flags & IP_NAT_RANGE_PROTO_RANDOM)) {
if (find_appropriate_src(net, orig_tuple, tuple, range)) {
pr_debug("get_unique_tuple: Found current src map\n");
if (!nf_nat_used_tuple(tuple, ct))
return;
}
}
/*在给定范围内选择合适的ip */
*tuple = *orig_tuple;
find_best_ips_proto(tuple, range, ct, maniptype);
/* 3) The per-protocol part of the manip is made to map into
the range to make a unique tuple. */
rcu_read_lock();
/*选择相关协议,确定协议相关部分*/
proto = __nf_nat_proto_find(orig_tuple->dst.protonum);
/* 如果iptables设定了随机选择端口*/
if (range->flags & IP_NAT_RANGE_PROTO_RANDOM) {
proto->unique_tuple(tuple, range, maniptype, ct);
goto out;
}
/* 如果IPTABLES指定了端口的范围*/
if ((!(range->flags & IP_NAT_RANGE_PROTO_SPECIFIED) ||
proto->in_range(tuple, maniptype, &range->min, &range->max)) &&
!nf_nat_used_tuple(tuple, ct))
goto out;
/* 对端口没有做任何指定 */
proto->unique_tuple(tuple, range, maniptype, ct);
out:
rcu_read_unlock();
}
我们假设应用层的iptables有如下的NAT设置:
iptables –t nat –A POSTROUTING –o eth0 –s192.168.0.0/24 –j SNAT –to
这条命令的意义在于将私用ip段:192.168.0.0/24,封包的源地址都改为公用ip:
现在我们假设有一台私用ip为:192.168.18.135的机器用临时端口45678来访问218.247.215.238的80端口。则连接跟踪建立如下的连接
ORIGINAL: 192.168.18.135.45678->218.247.215.238.80
REPLY: 218.247.215.238.80->192.168.18.135.45678
设定了SNAT后,我在POSTROUTING进入NAT的hook操作,并用SNAT的target做相应的处理,进入6.1流程的nf_nat_fn后,我们发现这个连接是一个新的连接,则遍历NAT表,发现设置了如上描述的规则,并且此私用IP符合我们的设定的私用ip范围,故对此报文做SNAT处理,在流程图6.2的nf_nat_setup_info
中,我们调用get_unique_tuple获得一个唯一的tuple(符合上面iptables所设定的),我们通过find_best_ips_proto在指定的ip范围内寻找合适的ip,本例中只使用了唯一的公用IP:
REPLY: 218.247.215.238.80-
同时我们更改连接跟踪的REPLY tuple为如上的tuple,这样连接跟踪建立的新连接如下:
ORIGINAL: 192.168.18.135.45678->218.247.215.238.80
REPLY: 218.247.215.238.80-
这个封包发送到主机218.247.215.238后,218.247.215.238后发送一个确认的数据包,连接为:
218.247.215.238.80-
NAT主机
中会有连接的相反方向,即本例中为REPLY封包,相反为ORINGAL,修改相应的报文。即将数据包中的
chinaunix网友2011-01-06 14:53:01
很好的, 收藏了 推荐一个博客,提供很多免费软件编程电子书下载: http://free-ebooks.appspot.com
chinaunix网友2011-01-06 14:52:48
很好的, 收藏了 推荐一个博客,提供很多免费软件编程电子书下载: http://free-ebooks.appspot.com