时间戳

首页 > 解决方案 > Netfilter 钩子有状态连接包过滤

c - Netfilter 钩子有状态连接包过滤

问题描述

我正在编写一个 Netfilter 挂钩，并希望对传入的 TCP 数据包进行状态分析，无论它们属于现有连接还是新连接正在启动。这是我第一次尝试使用 Netfilter 编写代码，在阅读https://people.netfilter.org/pablo/docs/login.pdf之后，我知道我需要检查一个数据包是否被归类为 NEW 或 ESTABLISHED 状态。但我找不到任何关于如何为此编写代码的文档。

static unsigned int hfunc(void *priv, struct sk_buff *skb, const struct nf_hook_state *state) {
    struct iphdr *iph;
    struct udphdr *udph;
    if (!skb)
        return NF_ACCEPT;

    iph = ip_hdr(skb);
    if (iph->protocol == IPPROTO_TCP) {
        /*
        if packet SYN flag is enabled and state==NEW:
            return NF_ACCEPT
        else if SYN flag is disabled and state==NEW:
            return NF_DROP
        */      
    }
    return NF_ACCEPT
}

static int __init my_net_module_init(void) {
    printk(KERN_INFO "Initializing my netfilter module\n");

    // Allocating memory for hook structure.
    my_nf_hook = (struct nf_hook_ops*) kzalloc(sizeof(struct nf_hook_ops), GFP_KERNEL);

    // Constructing the structure
    my_nf_hook->hook    = (nf_hookfn*)hfunc;        /* hook function */
    my_nf_hook->hooknum     = NF_INET_PRE_ROUTING;      /* received packets */
    my_nf_hook->pf  = PF_INET;                      /* IPv4 */
    my_nf_hook->priority    = NF_IP_PRI_FIRST;          /* max hook priority */

    nf_register_net_hook(&init_net, my_nf_hook);
    return 0;
}

static void __exit my_net_module_exit(void) {

    nf_unregister_net_hook(&init_net, my_nf_hook);
    kfree(my_nf_hook);
    printk(KERN_INFO "Exiting my netfilter module\n");
}

module_init(my_net_module_init);
module_exit(my_net_module_exit);

编辑：添加了用于在预路由中注册钩子的代码片段。

标签： clinuxnetworkinglinux-kernelnetfilter

解决方案

似乎在您的钩子中，您想根据有关连接状态的 conntrack(CT) 信息对数据包做出决定 - 阻止（丢弃）所有处于连接中间的 TCP 数据包，即没有 SYN 标志和没有 SYN 标志的数据包CT 中的连接条目。

所以如果你想获得CT的好处，你必须让他工作一点。
现在你的钩子NF_INET_PRE_ROUTING优先NF_IP_PRI_FIRST。看看Linux内核数据包流的图片。如果我们谈论预路由链 CT 处理是在 RAW 表之后的某个位置（即具有较低优先级）。
您可以在此处查看优先级列表：

enum nf_ip_hook_priorities {
    NF_IP_PRI_FIRST = INT_MIN,
    NF_IP_PRI_CONNTRACK_DEFRAG = -400,
    NF_IP_PRI_RAW = -300,
    NF_IP_PRI_SELINUX_FIRST = -225,
    NF_IP_PRI_CONNTRACK = -200,
    NF_IP_PRI_MANGLE = -150,
    NF_IP_PRI_NAT_DST = -100,
    NF_IP_PRI_FILTER = 0,
    NF_IP_PRI_SECURITY = 50,
    NF_IP_PRI_NAT_SRC = 100,
    NF_IP_PRI_SELINUX_LAST = 225,
    NF_IP_PRI_CONNTRACK_HELPER = 300,
    NF_IP_PRI_CONNTRACK_CONFIRM = INT_MAX,
    NF_IP_PRI_LAST = INT_MAX,
};

因此，要在 CT 之后（之后nf_conntrack_in()）坚持，您必须以低于的优先级注册您的钩子NF_IP_PRI_CONNTRACK（即具有更大的数字，例如-50）。
所以你也是：

static struct nf_hook_ops hooks[] __read_mostly = {
     {    
          .hook = hfunc,
          .pf = PF_INET,
          .hooknum = NF_INET_PRE_ROUTING,
          .priority = NF_IP_PRI_CONNTRACK + 150
     },
     // ...
};
// ...
int ret;
ret = nf_register_hooks(hooks, ARRAY_SIZE(hooks));
if (ret < 0)
    // error

然后你应该从你的钩子中访问 CT 信息：

static unsigned int hfunc(void *priv, struct sk_buff *skb,
                          const struct nf_hook_state *state) {
    struct iphdr *iph;

    iph = ip_hdr(skb);
    if (iph->protocol == IPPROTO_TCP) {
        struct nf_conn *ct;
        enum ip_conntrack_info ctinfo;
        struct tcphdr *tcph;

        ct = nf_ct_get(skb, &ctinfo);
        if (!ct)
            return NF_ACCEPT;

        tcph = tcp_hdr(skb)
        if (tcph->syn) { // && !tcph->ack ???
            if (ctinfo == IP_CT_NEW)
                return NF_ACCEPT;
        } else {
            if (ctinfo == IP_CT_NEW)
                return NF_DROP;
        }      
    }
    return NF_ACCEPT
}

还要记住 CT 必须参与你的 Linux 内核网络处理。应该将 CT 模块插入内核并添加适当的 iptables 规则。

推荐阅读