netfilter_queue 使用示例

简介

之前写过一篇文章《iptables queue 应用示例》，介绍使用libipq实现用户态数据包处理。最近有遇到国产麒麟系统不支持libipq的问题，好在还支持netfilter_queue，整理一个关于NFQUEUE的版本出来。

感谢

本文大部分内容参考_Raymond_的《netfilter_queue 总结》，作者对netfilter做了详细的介绍，原文链接：https://blog.youkuaiyun.com/weixin_43745072/article/details/110096900

环境依赖

需要安装libnetfilter_queue，libnetfilter_queue-devel，iptables，iptables-devel

yum install -y libnetfilter_queue libnetfilter_queue-devel iptables iptables-devel

示例

nf-queue.c

 /*     test.c      */
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <netinet/in.h>
#include <linux/types.h>
#include <linux/netfilter.h>		/* for NF_ACCEPT */
#include <errno.h> 
#include <libnetfilter_queue/libnetfilter_queue.h>
 
/* returns packet id */
static u_int32_t print_pkt (struct nfq_data *tb)
{
   
	int id = 0;
	struct nfqnl_msg_packet_hdr *ph;
	struct nfqnl_msg_packet_hw *hwph;
	u_int32_t mark,ifi; 
	int ret;
	unsigned char *data;
 
  // 提取数据包头信息,包括id,协议和hook点信息
	ph = nfq_get_msg_packet_hdr(tb);
	if (ph) {
   
		id = ntohl(ph->packet_id);
		printf("hw_protocol=0x%04x hook=%u id=%u ",ntohs(ph->hw_protocol), ph->hook, id);
	}
	 
	hwph = nfq_get_packet_hw(tb);
	if (hwph) {
   
		int i, hlen = ntohs(hwph->hw_addrlen); 
		printf("hw_src_addr=");
		for (i = 0; i < hlen-1; i++)
			printf("%02x:", hwph->hw_addr[i]);
		printf("%02x ", hwph->hw_addr[hlen-1]);
	}
 
 
	mark = nfq_get_nfmark(tb);
	if (mark)
		printf("mark=%u ", mark); 
 
	ifi = nfq_get_indev(tb);
	if (ifi)
		p