28、Netfilter 连接跟踪机制详解

Netfilter 连接跟踪机制详解

1. 引言

在网络数据包处理中，Netfilter 是 Linux 内核中一个强大的框架，用于实现数据包过滤、NAT（网络地址转换）和连接跟踪等功能。连接跟踪（Connection Tracking）是 Netfilter 中的一个重要特性，它可以跟踪网络连接的状态，为后续的数据包过滤和处理提供依据。本文将详细介绍 Netfilter 连接跟踪的初始化、基本结构、处理流程以及连接跟踪助手和期望机制。

2. 连接跟踪初始化

连接跟踪的初始化通过定义一个 nf_hook_ops 对象数组 ipv4_conntrack_ops 来实现，该数组包含了多个钩子回调函数，用于在不同的 Netfilter 钩子点处理数据包。以下是 ipv4_conntrack_ops 数组的定义：

static struct nf_hook_ops ipv4_conntrack_ops[] __read_mostly = {
    {
        .hook           = ipv4_conntrack_in,
        .owner          = THIS_MODULE,
        .pf             = NFPROTO_IPV4,
        .hooknum        = NF_INET_PRE_ROUTING,
        .priority       = NF_IP_PRI_CONNTRACK,
    },
    {
        .