關(guān)于netfilter獲取conntrack表項的問題

chenshko

內(nèi)核編譯選項關(guān)于netfilter的全部選上了
iptable規(guī)則，是在pre-routing上加了一條規(guī)則鏈

修改了nfnetlink_queue.c文件
在nfqnl_recv_verdict函數(shù)中添加了

    struct nf_conn *ct;
    enum ip_conntrack_info ctinfo;

    ct = nf_ct_get(entry->skb, &ctinfo);//通過skb->nfct獲取連接在conntrack表中表項



entry->skb存在（即通過netfilter queue id 從其queue中獲得的skb），但是ct為NULL,skb->nfct也為NULL。因此無法獲取到conntrack表的表項。

誰遇到過類似的問題，或者對netfilter比較熟悉，能看出其中的問題？

請幫幫小弟我。

Godbach

iptable規(guī)則，是在pre-routing上加了一條規(guī)則鏈

說一下詳細情況，加在那個表上了

瀚海書香

回復(fù) 1# chenshko
conntrack也是發(fā)生在prerouting上，所以說如果你的優(yōu)先級比conntrack的優(yōu)先級高的話，那么你的代碼就會比conntrack更早調(diào)用，而這個時候ct應(yīng)該就是NULL了。

chenshko

回復(fù) 2# Godbach


    在mangle表上

chenshko

回復(fù)  chenshko
conntrack也是發(fā)生在prerouting上，所以說如果你的優(yōu)先級比conntrack的優(yōu)先級高的話，那么 ...
瀚海書香 發(fā)表于 2010-12-15 18:36

    我試著在forward鏈上加規(guī)則，也是同樣的情況。

   在這nfqnl_recv_verdict函數(shù)是在用戶態(tài)返回處理意見以后才被調(diào)用。

chenshko

這是規(guī)則腳本

1. 
   
2. TABLE=mangle
   
3. function remove_chain(){
   
4.     echo -n removing chain...
   
5.     {
   
6.         /sbin/iptables -t ${TABLE} -D PREROUTING -j NF_QUEUE_CHAIN
   
7.         /sbin/iptables -t ${TABLE} -D OUTPUT -j NF_QUEUE_CHAIN
   
8.         /sbin/iptables -t ${TABLE} -F NF_QUEUE_CHAIN
   
9.         /sbin/iptables -t ${TABLE} -X NF_QUEUE_CHAIN
   
10.     } &>/dev/null
    
11.     echo done
    
12. }
    
13. function create_chain(){
    
14.     echo -n creating chain...
    
15.     /sbin/iptables -t ${TABLE} -N NF_QUEUE_CHAIN
    
16.     echo hello
    
17.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -p tcp -d 192.168.0.220 -m mark --mark 0 -j NFQUEUE --queue-num 8010
    
18.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -p tcp -s 192.168.0.220 -m mark --mark 0 -j NFQUEUE --queue-num 8010
    
19.     /sbin/iptables -t ${TABLE} -A NF_QUEUE_CHAIN -j MARK --set-mark 0
    
20.     /sbin/iptables -t ${TABLE} -I OUTPUT -j NF_QUEUE_CHAIN
    
21.     /sbin/iptables -t ${TABLE} -I PREROUTING -j NF_QUEUE_CHAIN
    
22.     echo done
    
23. }
    
24. function on_iqh(){
    
25.     remove_chain
    
26.     exit 1
    
27. }
    
28. trap on_iqh INT QUIT HUP
    
29. remove_chain
    
30. create_chain
    
31. exit 0
    
32. ./nf_queue_test 8010
    
33. remove_chain
    
34. 
    

復(fù)制代碼

goter

看看

1. 
   
2. static inline struct nf_conn *
   
3. resolve_normal_ct(struct net *net,
   
4.                   struct sk_buff *skb,
   
5.                   unsigned int dataoff,
   
6.                   u_int16_t l3num,
   
7.                   u_int8_t protonum,
   
8.                   struct nf_conntrack_l3proto *l3proto,
   
9.                   struct nf_conntrack_l4proto *l4proto,
   
10.                   int *set_reply,
    
11.                   enum ip_conntrack_info *ctinfo)
    
12. {
    
13.         struct nf_conntrack_tuple tuple;
    
14.         struct nf_conntrack_tuple_hash *h;
    
15.         struct nf_conn *ct;
    
16. 
    
17.         if (!nf_ct_get_tuple(skb, skb_network_offset(skb),
    
18.                              dataoff, l3num, protonum, &tuple, l3proto,
    
19.                              l4proto)) {
    
20.                 pr_debug("resolve_normal_ct: Can't get tuple\n");
    
21.                 return NULL;
    
22.         }
    
23. 
    
24.         /* look for tuple match */
    
25.         h = nf_conntrack_find_get(net, &tuple);
    
26.         if (!h) {
    
27.                 h = init_conntrack(net, &tuple, l3proto, l4proto, skb, dataoff);
    
28.                 if (!h)
    
29.                         return NULL;
    
30.                 if (IS_ERR(h))
    
31.                         return (void *)h;
    
32.         }
    
33.         ct = nf_ct_tuplehash_to_ctrack(h);
    
34. 
    

復(fù)制代碼

chenshko

頂上去~

Godbach

你這樣測試一下，單獨寫一個小模塊，取一個 skb 的 ct，看看能否成功

chenshko

謝謝樓上各位，問題解決了~

通過跟內(nèi)核發(fā)現(xiàn)，nf_conntrack_ipv4沒有被加載，手動加載進去就好了