Netfilter学习（三）

五、数据报过滤模块——filter表

1、概述

　　filter表的功能仅仅是对数据报进行过滤，并不对数据报进行任何的修改。

　　filter模块在Netfilter中是基于下列Hook点的：

　　　　* NF_IP_LOCAL_IN

　　　　* NF_IP_FORWARD

　　　　* NF_IP_LOCAL_OUT

　　这几个Hook分别对应着filter表中的INPUT、FORWARD、OUTPU三条规则链，对于任何一个数据报都会经过这3个Hook之一。

　　filter模块的接口位于文件net/ipv4/netfilter/iptables_filter.c中。

 

2、filter表的定义和初始化

　　filter表是前面所述数据结构的ipt_table的一个实例，它的定义和初始化位于net/ipv4/netfilter/iptable_filter.c，Line84。

static struct ipt_table packet_filter = 
{ 
    { NULL, NULL }, 
    "filter", 
    &initial_table.repl,    
    FILTER_VALID_HOOKS, 
    RW_LOCK_UNLOCKED, 
    NULL, 
    THIS_MODULE 
};

　　对照结构ipt_table的定义，我们可以发现，filter表的初始化数据为：

　　1> 链表初始化为空；

　　2> 表名位filter；

　　3> 初始化的模板为&initial_table.repl：

　　初始化化的模板表定义于net/ipv4/netfilter/iptable_filter.c，Line30，是一个很简单的数据结构，只是赋值有些复杂，因为要对所涉及的各个所涉及的Hook进行不同的处理：

static struct
{
struct ipt_replace repl;
struct ipt_standard entries[3];
struct ipt_error term;
} initial_table __initdata
= { 
　　{ "filter", FILTER_VALID_HOOKS, 4, sizeof(struct ipt_standard) * 3 + sizeof(struct ipt_error), 
　　{ [NF_IP_LOCAL_IN] 0,[NF_IP_FORWARD] sizeof(struct ipt_standard),[NF_IP_LOCAL_OUT] sizeof(struct ipt_standard) * 2 },{ [NF_IP_LOCAL_IN] 0,[NF_IP_FORWARD] sizeof(struct ipt_standard), [NF_IP_LOCAL_OUT] sizeof(struct ipt_standard) * 2 },0, NULL, { } 
　　},
　　{
/* LOCAL_IN */
　　{ { { { 0 }, { 0 }, { 0 }, { 0 }, "", "", { 0 }, { 0 }, 0, 0, 0 },
　　　0,
　　　sizeof(struct ipt_entry),
　　　sizeof(struct ipt_standard),
　　　0, 
　　　{ 0, 0 }, 
　　　{ } 
　　},
　　{ { { { ipt_ALIGN(sizeof(struct ipt_standard_target)), "" } }, { } },-NF_ACCEPT - 1 } 
　　},
/* FORWARD */
　　{ { { { 0 }, { 0 }, { 0 }, { 0 }, "", "", { 0 }, { 0 }, 0, 0, 0 },
　　　0,
　　　sizeof(struct ipt_entry),
　　　sizeof(struct ipt_standard),
　　　0, 
　　　{ 0, 0 }, 
　　　{ } 
　　},
　{ { { { ipt_ALIGN(sizeof(struct ipt_standard_target)), "" } }, { } },-NF_ACCEPT - 1 } 
　},
/* LOCAL_OUT */
 { { { { 0 }, { 0 }, { 0 }, { 0 }, "", "", { 0 }, { 0 }, 0, 0, 0 },
　　0,
　　sizeof(struct ipt_entry),
　　sizeof(struct ipt_standard),
　　0, 
　　{ 0, 0 }, 
　　{ } 
},
{ { { { ipt_ALIGN(sizeof(struct ipt_standard_target)), "" } }, { } },-NF_ACCEPT - 1 } }
},
/* ERROR */
{ { { { 0 }, { 0 }, { 0 }, { 0 }, "", "", { 0 }, { 0 }, 0, 0, 0 },
　0,
　sizeof(struct ipt_entry),
　sizeof(struct ipt_error),
　0, 
　{ 0, 0 }, 
　{ } 
},
{ { { { ipt_ALIGN(sizeof(struct ipt_error_target)), ipt_ERROR_TARGET } },{ } 
},
"ERROR"
}
}
};

　　《说实话，这个赋值有点不懂啊！！》

　　我们可以的看到，一个initial_table包含三个成员：

　　　　* struct ipt_replace repl; ：是对一个表进行初始化的最主要部分，这个ipt_replace结构在前面已经分析了；

　　　　* struct ipt_standard entries[3]; ：是对这个表所监听的各个Hook上对应的初始化信息，实际上就是一个ipt_entry结构加上一个ipt_standard_target结构；

　　　　* struct ipt_error_term; ：是这个表出错时对应的信息，实际上就是一个ipt_entry结构、一个ipt_entry_target结构再加上一个errorname。

　　当前表所监听的Hook位图为FILTER_VALID_HOOKS，位于net/ipv4/netfilter/iptable_filter.c，Line9：

#define FILTER_VALID_HOOKS ((1 << NF_IP_LOCAL_IN) | (1 <<2 NF_IP_FORWARD) | (1 << NF_IP_LOCAL_OUT))

　　我们可以看到，实际上就是IN、FORWARD和OUT。

　　　　* 读写锁RW_LOCK_UNLOCKED，即为打开状态

　　　　* 实际数据区ipt_table_info为空

　　　　* 定义为模块

3、filter表的实现

　　filter表的实现函数实际上就是模块iptable_filter.o的init函数，位于net/ipv4/netfilter/iptable_filter.c，Line128。其主要工作是首先通过ipt_register_table()函数进行表的注册，然后用nf_register_hook()函数注册表所监听的各个Hook。

　　其中，对Hook进行注册时，是通过对数据结构nf_hook_ops的一个实例ipt_ops进行操作来实现的，这个实例的定义和初始化位于net/ipv4/netfilter/iptable_filter.c，Line117。

static struct nf_hook_ops ipt_ops[]
= { { { NULL, NULL }, ipt_hook, PF_INET, NF_IP_LOCAL_IN,
NF_IP_PRI_FILTER },
{ { NULL, NULL }, ipt_hook, PF_INET, NF_IP_FORWARD,
NF_IP_PRI_FILTER },
{ { NULL, NULL }, ipt_local_out_hook, PF_INET, NF_IP_LOCAL_OUT,
NF_IP_PRI_FILTER }
};

　　对应前面所分析nf_hook_ops的各个成员，不难确定这些初始化值的意义。

　　其中，对应IN和FORWARD的处理函数均为ipt_hook，OUT的处理函数则为ipt_local_out_hook，下面依次分析之。

　　* ipt_hook，定义于net/ipv4/netfilter/iptable_filter.c，Line89。

static unsigned int ipt_hook(unsigned int hook, struct sk_buff **pskb, const struct net_device *in, 
const struct net_device *out, int (*okfn)(struct sk_buff *))
{
　　return ipt_do_table(pskb, hook, in, out, &packet_filter, NULL);
}

　　实际上，它就是调用了ipt_do_table()函数，也就说，注册时首先注册一个ipt_hook()函数，然后ipt_hook()通过调用ipt_do_table()函数对传入的数据进行真正的处理。下面我们来看看ipt_do_table()这个函数。

　　它位于net/ipv4/netfilter/iptables.c，Line254，是一个很长的函数，其主要功能是对数据报进行各种匹配、过滤（包括基本规则、matches以及target），具体些说，其工作大致为：

　　1> 初始化各种变量，如IP头、数据区、输入输出设备、段偏移、规则入口等；

　　2> 进行规则的匹配，首先调用ip_packet_match()函数（位于net/ipv4/netfilter/ip_tables.c，Line121）确定IP数据报是否匹配规则，若不是匹配则跳到下一条规则（这个函数的主要工作大致为：依次处理源/目的IP地址、输入输出接口，然后对基本的规则进行匹配）；

　　3> 如果数据报匹配，则下面继续匹配matches和target，首先利用宏IPT_MATCH_ITERATE调用do_match()函数对扩展的match进行匹配，若不匹配则跳到下一条规则；

　　4> 扩展match匹配后，首先调用ipt_get_target()获得target的偏移地址，然后对target进行匹配，这个匹配的过程要比match的匹配过程复杂一些，同样在下面单独分析。

　　下面首先来分析do_match()函数，它位于net/ipv4/netfilter/ip_tables.c，Line229，它的实现只有一个if语句：

if (!m->u.kernel.match->match(skb, in, out, m->data, offset, hdr, datalen, hotdrop))
    return 1;
else
    return 0;

　　其中的`m->u.kernel.match->match(skb, in, out, m->data, offset, hdr, datalen,hotdrop)`是用来定位match 的。

　　因为如果仅仅是根据match的名字遍历链表的话进行查找的话，效率会非常低下。Netfilter源码中采用的方法是在进行match的检测之前，也就是在ipt_register_table()函数中通过translate_table()函数由宏IPT_ENTRY_ITERATE 调用函数check_entry()时，在check_entry()中通过宏IPT_MATCH_ITERATE 调用了check_match()函数（位于net/ipv4/netfilter/ip_tables.c，Line640），在这个函数中，有一个对m->u.kernel.match 的赋值。

　　m->u.kernel.match = match;

　　这样，每条规则的u.kernel.match就与内核模块中的struct ipt_match链表关联起来了，也就是说，这样一来，根据match的名字，其对应的match函数就与链表中对应的函数关联起来了。于是，上面的那条定位match的语句的意义也就开始明白了：

　　利用宏IPT_MATCH_ITERATE 来遍历规则中的所有mach，然后直接调用`m->u.kernel.match->match`来进行对数据报的匹配工作——这样的效率显然要比简单的遍历要高许多。

　　然后我们来看下对target的匹配，从数据结构的实现来看，似乎这个过程与match的匹配应该是相似的，但实际上，target存在标准的和非标准的两种，其中标准的target与非标准的target的处理是不一样的。

　　在这里我遇到了问题（由于现在还没看源码呢，先把前辈的问题写下来吧），如下所示。

　　首先，在Netfilter 的源码中，存在两个ipt_standard_target，其中一个是一个struct，位于include/linux/netfilter_ipv4/ip_tables.h，Line94；另一个是`struct

ipt_target`的一个实例，位于net/ipv4/netfilter/IPtables.c，Line1684，而在target的匹配过程中，它是这样处理的（ipt_do_tables()，net/ipv4/netfilter/ip_tables.c，
Line329）：
　　/* Standard target? */
　　if (!t->u.kernel.target->target)

　　{……}
　　从这里看来，它应该是当t->u.kernel.target 的target 函数为空时，表明其为标准的target。那么结合上述两者的定义，似乎用的是后者，因为后者的定义及初始化如下：
　　/* The built-in targets: standard (NULL) and error. */
　　static struct ipt_target ipt_standard_target= { { NULL, NULL }, IPT_STANDARD_TARGET, NULL, NULL, NULL };
　　但是问题出现在：初始化中的IPT_STANDARD_TARGET 被定义为””！！并且在整个源码中，用到实例化的ipt_standard_target 的地方仅有两处，即上面的这个定义以及ip_tables.c 中将ipt_standard_target 加入到target 链表之中。也就是说这个实例的名字一直为空，这一点如何理解？

　　* ipt_local_out_hook，定义于net/ipv4/netfilter/iptable_filter.c，Line99，其功能与ipt_hook相似，只不过为了防止DOS攻击而增加了对ratelimit的检查。

　　

　　这样，到这里，filter的实现已经分析完毕，至于具体的过滤功能如何实现的，那就是每个Hook处理的函数的问题了。

 

 

　　感谢前辈，地址为：：http://www.cnblogs.com/iceocean/articles/1594196.html。希望不会搞错哦。。

 

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　梦醒潇湘

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　2012-09-23 19:51:02