使用 NFQUEUE 发送排队的数据包？

Question

我将 libnetfilter_queue 和 iptables 与 NFQUEUE 目标一起使用，以将传入数据包存储在三个不同的队列中 --queue-num x。

我成功创建了三个具有 libnetfilter_queue 函数的队列，绑定它们，监听它们并从中读取它们，如下所示：

/* given 'h' as a handler of one of my three queues */
fd = nfq_fd(h);
while ((rv = recv(fd, buf, sizeof(buf), 0)) && rv >= 0) {
    nfq_handle_packet(h, buf, rv);
}

由 nfq_handle_packet 触发的回调函数具有 nfq_set_verdict(qh, id, NF_ACCEPT, 0, NULL); 命令，它会在处理完数据包后立即发送数据包。问题是：我不希望立即发送每个数据包，因为我需要将它们存储在自定义结构中（如下所示）。

所以我遇到了一个潜在的解决方案：我可以对每个要排队的数据包调用 NF_DROP verdict 而不是 NF_ACCEPT （这样它就不会立即被发送出去），存储它在我的自定义结构中，然后（迟早）根据我的需要重新注入它。

听起来不错，但情况是：我不知道如何从我的用户空间应用程序中随意重新注入我排队的数据包。在我的代码的同一点再次使用 nfq_set_verdict 是否正确，但使用 NF_ACCEPT 判断？或者我应该打开一个套接字（也许是原始的）？

这是我的自定义结构

struct List {
    int queue;
    int pktsize;
    unsigned char *buffer;
    struct nfq_q_handle *qh;
    struct nfqnl_msg_packet_hdr *hdr;
    struct List *next;
};

表示使用上述规则捕获的数据包。

这些是我存储数据包的队列。

struct List *List0 = NULL;  // low priority
struct List *List1 = NULL;  // medium priority
struct List *List2 = NULL;  // high priority

我有 Ubuntu 14.04 3.13.0-57-generic.

如有任何建议，我们将不胜感激。

Answer 1

你的想法很有道理。事实上，我已经在我从事的商业产品中看到了一个非常相似的方案。它必须以高速率处理单个数据包，因此它总是会复制传入的数据包并立即设置 NF_DROP 判决。然后它会执行处理，如果它决定应该转发数据包，它会将副本发送到出站接口。所以你并不孤单。

据我所知，nfq_set_verdict 每个数据包只能调用一次。设置判决后，NFQUEUE 将数据包发送到目的地（在您的情况下是数据包天堂）。它不会保留数据包的额外副本，以防万一您改变主意。因此，要将数据包发送回网络，您必须存储它的副本并使用您自己的套接字发送它。是的，如果你想发送接收到的数据包 as-is（包括 headers），出站套接字必须是 raw.

Answer 2

我不知道这是否适合您的应用程序模型，但是 Frottle 只是让数据包处于不确定状态，直到它决定是接受还是丢弃它们。这种方法的 "novelty" 依赖于这样一个事实，即您不需要在 NFQUEUE 回调函数本身期间调用 nfq_set_verdict；您可以稍后在适当的 netfilter 循环之外调用它。它将使用更多的内核内存，但替代方案是使用更多的用户模式内存，因此损失不大。

希望对您有所帮助！

使用 NFQUEUE 发送排队的数据包？

Sending queued packets with NFQUEUE?

c

networking

network-programming

netfilter