--[ 2 - 各种Netfilter hook及其用法
　　----[ 2.1 - Linux内核对数据包的处理

　　看起来好像是我很喜欢深入到诸如Linux的数据包处理以及事件的发生以及跟踪每一个Netfilter hook这样的血淋淋的细节中，事实并非如此！原因很简单，Harald Welte已经写了一篇关于这个话题的优秀的文章——《Journey  of a Packet Through the Linux 2.4 Network Stack》。如果你想了解更多的关于Linux数据包处理的内容，我强烈推荐你去拜读这篇文章。现在，仅需要理解：当数据包游历Linux内核的网络堆栈时，它穿过了几个hook点，在这里，数据包可以被分析并且选择是保留还是丢弃，这些hook点就是Netfilter hook。

　　----[ 2.2 - Netfilter对IPv4的hook

　　Netfilter中定义了五个关于IPv4的hook，对这些符号的声明可以在linux/netfilter_ipv4.h中找到。这些hook列在下面的表中：

　　表1 : 可用的IPv4 hook

　　调用的时机
　　NF_IP_PRE_ROUTING    在完整性校验之后，选路确定之前
　　NF_IP_LOCAL_IN        在选路确定之后，且数据包的目的是本地主机
　　NF_IP_FORWARD        目的地是其它主机地数据包
　　NF_IP_LOCAL_OUT        来自本机进程的数据包在其离开本地主机的过程中
　　NF_IP_POST_ROUTING    在数据包离开本地主机“上线”之前

　　NF_IP_PRE_ROUTING这个hook是数据包被接收到之后调用的第一个hook，这个hook既是稍后将要描述的模块所用到的。当然，其它的hook同样非常有用，但是在这里，我们的焦点是在NF_IP_PRE_ROUTING这个hook上。

　　在hook函数完成了对数据包所需的任何的操作之后，它们必须返回下列预定义的Netfilter返回值中的一个：

　　表2 : Netfilter返回值

　　返回值                含义
　　NF_DROP                丢弃该数据包
　　NF_ACCEPT            保留该数据包
　　NF_STOLEN            忘掉该数据包
　　NF_QUEUE            将该数据包插入到用户空间
　　NF_REPEAT            再次调用该hook函数

　　NF_DROP这个返回值的含义是该数据包将被完全的丢弃，所有为它分配的资源都应当被释放。NF_ACCEPT这个返回值告诉Netfilter：到目前为止，该数据包还是被接受的并且该数据包应当被递交到网络堆栈的下一个阶段。NF_STOLEN是一个有趣的返回值，因为它告诉Netfilter，“忘掉”这个数据包。这里告诉Netfilter的是：该hook函数将从此开始对数据包的处理，并且Netfilter应当放弃对该数据包做任何的处理。但是，这并不意味着该数据包的资源已经被释放。这个数据包以及它独自的sk_buff数据结构仍然有效，只是hook函数从Netfilter获取了该数据包的所有权。不幸的是，我还不是完全的清楚NF_QUEUE到底是如果工作的，因此在这里我不讨论它。最后一个返回值NF_REPEAT请求Netfilter再次调用这个hook函数。显然，使用者应当谨慎使用NF_REPEAT这个返回值，以免造成死循环。