阅读 150

netfilter与iptables表规则建立

在内核的net中,iptable_nat.c iptable_filter.c iptable_mangle.c中,分别建立了3张表,供iptables规则使用。

其中filter、mangle表的建立,有自己的优选级

调用 ipt_register_table函数进行注册表; 调用xt_hook_link注册到时hook,此表可以挂到5个点,那就会注册到5个hook点,优先级都是一样的,如上图。

那么nat表呢?


它也这个结构体,但在初始化时,仅调用了ipt_register_table注册了表,那么通过iptables打入的nat规则如何生效呢?

它额外注册了几个hook点函数,如下:


以NF_INET_PRE_ROUTING为例,nf_nat_ipv4_in-》nf_nat_ipv4_fn-》如果ct状态为IP_CT_NEW -》nf_nat_rule_find-》ipt_do_table执行iptables nat表中的NF_INET_PRE_ROUTING点上规则。

 

对于NF_INET_POST_ROUTING也是一样,nf_nat_ipv4_out-》nf_nat_ipv4_fn-》如果ct状态为IP_CT_NEW -》nf_nat_rule_find-》ipt_do_table。

 

也就是说对于nat表中动作,仅会在ct为IP_CT_NEW时,执行一次,如果ct的状态其它,则不会再执行。

返回来的规则在conntrack中进行会进行处理(nf_conntrack_l3proto_ipv4.c)。


也就是说,对于iptables规则,filter和magle表中的规则对每个数据包都会进行;而nat表中规则,只会对数据报文做一次,后续的就交给ct来做了。

 

根据优先级,如下


则执行顺序为

新的报文-》ip_recv-》PREROUTING HOOK点

-》优先级NF_IP_PRI_CONNTRACK

-》优先级NF_IP_PRI_MANGLE -》所有的magle表中规则都会顺序执行

-》优先级NF_IP_PRI_FILTER-》所有filter表中规则都会顺序执行

-》优先级NF_IP_PRI_NAT_DST->nf_nat_ipv4_in-》nf_nat_ipv4_fn-》执行iptables nat表中的NF_INET_PRE_ROUTING点上规则。

所有的钩子函数执行完后

 

ct中已存在链接的报文-》ip_recv-》PREROUTING HOOK点

-》优先级NF_IP_PRI_CONNTRACK,更新连接跟踪

-》优先级NF_IP_PRI_MANGLE -》所有的magle表中规则都会顺序执行

-》优先级NF_IP_PRI_FILTER-》所有filter表中规则都会顺序执行

-》优先级NF_IP_PRI_NAT_DST->nf_nat_ipv4_in-》nf_nat_ipv4_fn-》nf_nat_packet,完成nat转换(不再执行相应规则)

所有的钩子函数执行完后



文章分类
后端
版权声明:本站是系统测试站点,无实际运营。本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至 XXXXXXo@163.com 举报,一经查实,本站将立刻删除。
相关推荐