linux 内核网络钩子类型

深度好文

Netfilter是Linux 2.4内核的一个子系统，Netfiler使得诸如数据包过滤、网络地址转换(NAT)以及网络连接跟踪等技巧成为可能，这些功能仅通过使用内核网络代码提供的各式各样的hook既可以完成。这些hook位于内核代码中，要么是静态链接的，要么是以动态加载的模块的形式存在。可以为指定的网络事件注册相应的回调函数，数据包的接收就是这样一个例子。

钩子函数（回调函数）也是系统内核为驱动程序提供的一些特定的函数，在驱动程序中某个变量的状态发生改变或将要改变或改变完成时，将会自动调用该回调函数，在netfilter中的状态就有五个（针对IPV4）：

hook调用的时机

NF_IP_PRE_ROUTING //在完整性校验之后，选路确定之前
NF_IP_LOCAL_IN //在选路确定之后，且数据包的目的是本地主机
NF_IP_FORWARD //目的地是其它主机地数据包
NF_IP_LOCAL_OUT //来自本机进程的数据包在其离开本地主机的过程中
NF_IP_POST_ROUTING //在数据包离开本地主机“上线”之前

而netfilter的返回值有5种：
返回值含义

NF_DROP //丢弃该数据包
NF_ACCEPT //保留该数据包
NF_STOLEN //忘掉该数据包
NF_QUEUE //将该数据包插入到用户空间
NF_REPEAT //再次调用该hook函数

如果要注册一个钩子函数，就要先申明一个nf_hook_ops 结构体，然后对其结构体里面的各个属性进行相应的赋值

struct nf_hook_ops
{
    struct list_head list;
    nf_hookfn *hook;
    int pf;
    int hooknum;
    int priority;
};

list：链表头，用来把各个处理函数组织成一个表，初始化为{NULL，NULL}；
hook：我们定义的处理函数的指针，它的返回值必须为前面所说的几个常量之一；
pf：协议族，表示这个HOOK属于哪个协议族；
hooknum：我们想要注册的钩子，取值为五个钩子之一；
priority：优先级，目前Netfilter定义了一下几个优先级，取值也小优先级也高，我们可以根据需要对各个优先级加减一个常量得到符合我们需要的优先级。

NF_IP6_PRI_FIRST = INT_MIN
NF_IP6_PRI_CONNTRACK = -200
NF_IP6_PRI_MANGLE = -150
NF_IP6_PRI_NAT_DST = -100
NF_IP6_PRI_FILTER = 0
NF_IP6_PRI_NAT_SRC = 100
NF_IP6_PRI_LAST = INT_MAX

IP层的五个HOOK点的位置如下图所示：

  --->[1]--->[ROUTE]--->[3]--->[4]--->
                 |          ^
                 |          |
                 |       [ROUTE]
                 v          |
                [2]        [5]
                 |          ^
                 |          |
                 v          |
               [ Local process]

[1]:NF_IP_PRE_ROUTING：刚刚进入网络层的数据包通过此点（刚刚进行完版本号，校验和等检测），源地址转换在此点
进行；
[2]:NF_IP_LOCAL_IN：经路由查找后，送往本机的通过此检查点,INPUT包过滤在此点进行；
[3]:NF_IP_FORWARD：要转发的包通过此检测点,FORWORD包过滤在此点进行；
[4]:NF_IP_LOCAL_OUT：本机进程发出的包通过此检测点，OUTPUT包过滤在此点进行；
[5]:NF_IP_POST_ROUTING：所有马上便要通过网络设备出去的包通过此检测点，内置的目的地址转换功能（包括地址伪装）在此点进行。

以下是一个例子程序：

#define __KERNEL__
#define MODULE

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/netfilter.h>
#include <linux/netfilter_ipv4.h>


static struct nf_hook_ops nfho;


unsigned int hook_func( unsigned int hooknum,
  struct sk_buff **skb,
   const struct net_device *in,
    const struct net_device *out,
     int (*okfn)(struct sk_buff *) )
{
    return NF_DROP;          
}

int init_module()
{

    nfho.hook = hook_func;        
    nfho.hooknum  = NF_IP_PRE_ROUTING;
    nfho.pf       = PF_INET;
    nfho.priority = NF_IP_PRI_FIRST;  
    nf_register_hook(&nfho); //将用户自己定义的钩子注册到内核中
    return 0;
}

void cleanup_module()
{
    nf_unregister_hook(&nfho); //将用户自己定义的钩子从内核中删除
}

在netfilter中注册钩子函数即可，一个参考实现

#include   <linux/module.h>
#include   <linux/init.h>
#include   <linux/kernel.h>
#include   <linux/netfilter.h>
#include   <linux/netfilter_ipv4.h>
#include   <linux/ip.h>
#include   <net/ip.h>
#include   <linux/udp.h>
#include   <linux/in.h>
#include   <linux/skbuff.h>
#include   <linux/netdevice.h>
#include   <linux/if_ether.h>
#include   <linux/if.h>

//define interface packet coming from
static char *in_dev= "eth0 ";
MODULE_PARM(in_dev, "s ");

//capture packet and analyse it
static unsigned int packet_cap(unsigned int hooknum,struct sk_buff **pskb,
 const struct net_device *in,const struct net_device *out,int(*okfn)(struct sk_buff *))
{
 unsigned int ret=NF_ACCEPT;

 if(in&&(strcmp(in_dev,in->name)!=0))
  goto no_interest;

 struct iphdr *iph=(*pskb)->nh.iph;
 unsigned int data_len=(*pskb)->len;

 void *protoh=(u_int32_t *)iph+iph->ihl;
 data_len-=iph->ihl*4;

 switch(iph->protocol)
 {
  case IPPROTO_TCP:  
  {
   struct tcphdr *tcph=protoh;

   __u16 sport=ntohs(tcph->source);
   if(sport%2==0)   ret=NF_DROP;
   printk( "packet   sport=%d\n ",sport);
  break;  
  }
  case IPPROTO_UDP:  
  {
   struct   udphdr   *udph=protoh;

   __u16 sport=ntohs(udph->source);
   if(sport%2==0)   ret=NF_DROP;
   break;  
  }  
  default:
   break;
 }  

no_interest:
 return ret;
}

//define one hook function
static struct nf_hook_ops hook_pcap = {
 {NULL,NULL},
 packet_cap,
 PF_INET,
 NF_IP_LOCAL_IN,
 NF_IP_PRI_FILTER+1
};

static int __init init(void)
{
 return nf_register_hook(&hook_pcap);
}

static void __exit fini(void)
{
 nf_unregister_hook(&hook_pcap);
}

module_init(init);
module_exit(fini);

MODULE_LICENSE( "GPL ");

linux 内核网络钩子类型

深度好文

猜你喜欢