關(guān)于netfilter的LOG調(diào)用路徑

asweisun_shan

我現(xiàn)在要調(diào)查一個(gè)問題，想知道用戶層執(zhí)行什么操作/編寫什么程序
可以調(diào)用nf_log_bind_pf()函數(shù)。

我查閱了Godbach (哥德巴赫)的【Linux內(nèi)核IP Queue機(jī)制的分析】系列文章，沒有找到我要的答案。
謝謝。。

調(diào)用流程：
nfnetlink_rcv
|------netlink_rcv_skb
   |------nfnetlink_rcv_msg
      |------ nfnl_callback->call（nfulnl_recv_config）
         |------nf_log_bind_pf(command=NFULNL_CFG_CMD_PF_BIND)


初始化函數(shù)：
nfnetlink_log_init
|-----nfnetlink_subsys_register

Godbach

回復(fù) 1# asweisun_shan
你說的不是 iptables 的 LOG 模塊吧

asweisun_shan

CONFIG_NETFILTER_NETLINK_LOG
RHEL5, RHEL6， 最新內(nèi)核都有這個(gè)功能。

回復(fù) 2# Godbach

Godbach

回復(fù) 3# asweisun_shan
嗯，看了一下代碼及說明

   1 /*
   2  * This is a module which is used for logging packets to userspace via
   3  * nfetlink.
   4  *
   5  * (C) 2005 by Harald Welte <laforge@netfilter.org>
   6  *
   7  * Based on the old ipv4-only ipt_ULOG.c:
   8  * (C) 2000-2004 by Harald Welte <laforge@netfilter.org>

應(yīng)該就是一個(gè)通用的 記錄通過 nfnetlink 發(fā)送數(shù)據(jù)包到用戶空間的模塊

Godbach

可以直接用 modprobe 加載

[root@Kernel-Test netfilter]# modprobe nfnetlink_log

下面是系統(tǒng)日志
Jul 15 22:34:40 Kernel-Test kernel: Netfilter messages via NETLINK v0.30.

加載后的模塊信息

[root@Kernel-Test netfilter]# lsmod
Module                  Size  Used by
nfnetlink_log          14308  0
nfnetlink               8728  1 nfnetlink_log

asweisun_shan

只加載模塊，不會(huì)調(diào)用到nf_log_bind_pf函數(shù)。

回復(fù) 5# Godbach

bekars

沒有看nf_log_bind_pf函數(shù)做什么用的

說個(gè)方法：
在內(nèi)核代碼里搜索調(diào)用nf_log_bind_pf的函數(shù)，用cscope可以做到，然后往上找到系統(tǒng)調(diào)用接口就知道怎么調(diào)用的了。

asweisun_shan

nfnetlink_rcv 算是接口嗎？

沒有看nf_log_bind_pf函數(shù)做什么用的

說個(gè)方法：
在內(nèi)核代碼里搜索調(diào)用nf_log_bind_pf的函數(shù)，用cscope ...
bekars 發(fā)表于 2011-07-19 11:59

bekars

nfnetlink_rcv 算是接口嗎？
asweisun_shan 發(fā)表于 2011-07-19 16:44

nfnl = netlink_kernel_create(&init_net, NETLINK_NETFILTER, NFNLGRP_MAX,
                                     nfnetlink_rcv, NULL, THIS_MODULE);

中注冊了nfnetlink_rcv為接收函數(shù)

你自己寫一個(gè)netlink的應(yīng)用層實(shí)現(xiàn)，可以用libnfnetlink庫，然后跟蹤nfnetlink_rcv的調(diào)用應(yīng)該可以