是否可以使用 libnetfilter_queue 访问 ip 片段

Question

我正在使用 libnetfilter_queue in C to capture packets. I am setting an iptable rule to queue the incoming packets that would later be processed by the userspace implementation like this: iptables -A INPUT -j NFQUEUE --queue-num 0. I used nfqnl_test 示例作为实现捕获的框架。一切都按预期工作。但是，我注意到不可能在 ip 片段级别检查队列。也就是说，如果一个数据包以碎片的形式出现，它会在被放入队列之前首先被重新组合。但我想使用片段。那么有没有办法强制执行这种行为呢？我想要的是一个队列，我可以在其中观察原始传入数据包（碎片和未碎片），以便我能够相应地对它们采取行动。

我读到过重组确实发生过。另一方面，对于 iptables，有可用的 -f 标志，所以应该有一个 "fragmentation granularity" 我正在寻找。我也试过调整iptable规则（例如iptables -t raw -D PREROUTING -i eth0 -j NFQUEUE --queue-num 0），但结果还是一样。我只能观察已经重新组装的数据包，我肯定知道它是以碎片形式到达的。

非常感谢任何帮助。

Answer 1

首先，请确保您的网卡不是进行重新组装的网卡。

现代网卡执行的各种卸载技术，例如LRO, UFO，以及其他可以重组 IP 级片段的技术。我建议使用 ethtool -k 检查相关接口上哪些卸载处于活动状态，然后使用 ethtool -K.

将它们一一关闭

Answer 2

所以我找到了解决问题的方法，我在这里分享它以防有人感兴趣。感谢来自 netfilter 邮件列表的 Adel，他提出了可能的解决方法。基本上，解决方案是使用 nftables 并设置一条优先级低于碎片整理的链。我已经用 C 代码测试了这个设置，它似乎工作得很好（我没有注意到任何副作用）。但是，我不得不提一下，我只是用它来观察 IP 碎片，并没有对它们进行篡改。

下面有两个函数可以设置nftables然后删除它们。

void set_nftable() {

    int status = 0;

    // Create a nftable 
    status = system("nft add table ip filter");

    // Add a chain to the nftable called "predefrag" which has lower priority than the defragmentation -450 < -400
    status = system("nft add chain ip filter predefrag { type filter hook prerouting priority -- -450 \; }");

    // Set the nftable rule (queue packets to be accessed by a user-space application)
    status = system("nft add filter predefrag meta iif eth0 counter queue num 0 bypass"); 
}

void remove_nftable() {

    int status = 0;

    // Flush the rules that are stored in the chains that belong to the nftable
    status = system("nft flush table ip filter");

    // Delete the chain from the nftable
    status = system("nft delete chain ip filter predefrag");

    // Delete the nftable
    status = system("nft delete table ip filter");
}

利用这些函数，nfqnl_test 代码可用于捕获 IP 片段。下面是设置 nftables 和了解它们如何工作的有用链接（一旦熟悉了 nftables 手册，函数中的注释就非常不言自明了）。

http://wiki.nftables.org/wiki-nftables/index.php/Building_and_installing_nftables_from_sources

http://wiki.nftables.org/wiki-nftables/index.php/Configuring_tables

http://wiki.nftables.org/wiki-nftables/index.php/Configuring_chains

http://wiki.nftables.org/wiki-nftables/index.php/Simple_rule_management

http://wiki.nftables.org/wiki-nftables/index.php/Queueing_to_userspace

是否可以使用 libnetfilter_queue 访问 ip 片段

Is it possible to access ip fragments with libnetfilter_queue

c

linux

iptables

netfilter

ip-fragmentation