netfilter框架概述

1 Netfilter

1.1 netfilter概述

Netfilter是linux 2.4.x引入的一个子系统，它是一个通用的、抽象的框架。其不依赖于具体的协议，而是为每种网络协议定义一套HOOK函数。这些HOOK函数在数据报经过协议栈的几个关键点被调用。 内核的任何模块可以对每种协议的一个或多个HOOK进行注册，实现挂接。这样当某个数据报被传递给Netfilter框架时，内核能检测到是否有任何模块对该协议和HOOK函数进行了注册。若注册了，则调用该模块的注册时使用的回调函数，这样这些模块就有机会检查、修改、丢弃该数据报及指示Netfilter将该数据报传入用户空间的队列。

1.2 Netfilter框架

1.2.1 Netfilter钩子点

netfilter五个钩子点在协议栈的位置：

netfilter分别在这五个钩子点嵌入NF_HOOK函数，然后通过NF_HOOK函数进入netfilter框架

1.2.2 不同方向报文所经过的钩子点

本机往外发的报文：

发往本机的报文：

由本机转发的报文：

1.2.3 钩子的入口函数

PREROUTING	INPUT	FORWARD	OUTPUT	POSTROUTING
ip_rcv	ip_local_deliver	ip_forward	__ip_local_out	ip_output

1.3 Netfilter核心代码分析

1.3.1 钩子函数结构体

钩子函数封装在结构体nf_hook_ops里，nf_hook_ops结构体定义如下：

struct nf_hook_ops {
   
	/* User fills in from here down. */
	nf_hookfn		*hook;        //钩子函数，各模块自定义
	struct net_device	*dev;
	void			*priv;        
	u_int8_t		pf;//Protocol families
	unsigned int		hooknum;       //钩子点  
	/* Hooks are ordered in ascending priority. */
	int			priority;              //钩子函数执行优先级
};

钩子函数nf_hookfn的定义：

typedef unsigned int nf_hookfn(void *priv,struct sk_buff *skb,const struct nf_hook_state *state);

netfilter的钩子函数的存储结构图：
注册钩子函数实际就是把每个nf_hook_ops变量的成员hook和priv赋值给每个nf_hook_entry变量，并且根据priority把nf_hook_entry变量按从小到大的顺序存储在nf_hook_entries的hooks[]数组里。并且为了能按priority存储在数组里需要知道已注册所有钩子函数的priority，因此在hooks[]的末尾按priority存储指向每个nf_hook_ops变量的指针。

1.3.2 钩子函数的注册和注销

注册和注销多个钩子函数：

int nf_register_net_hooks(struct net*net,struct nf_hook_ops *reg,unsigned int n);
void nf_unregister_net_hooks(struct net*net,struct nf_hook_ops *reg,unsigned int n);

注册和注销单个钩子函数：

int nf_register_net_hook(struct net*net,struct nf_hook_ops *reg);
void nf_unregister_net_hook(struct net*net,struct nf_hook_ops *reg);

nf_register_net_hook核心函数分析：