【IT168 服务器学院】--[3 - 注册和注销Netfilter hook

　　注册一个hook函数是围绕nf_hook_ops数据结构的一个非常简单的操作，nf_hook_ops数据结构在linux/netfilter.h中定义，该数据结构的定义如下：

　　      struct nf_hook_ops {
　　              struct list_head list;

　　              /* 此下的值由用户填充 */
　　              nf_hookfn *hook;
　　              int pf;
　　              int hooknum;
　　              /* Hook以升序的优先级排序 */
　　              int priority;
　　      };

　　该数据结构中的list成员用于维护Netfilter hook的列表，并且不是用户在注册hook时需要关心的重点。hook成员是一个指向nf_hookfn类型的函数的指针，该函数是这个hook被调用时执行的函数。nf_hookfn同样在linux/netfilter.h中定义。pf这个成员用于指定协议族。有效的协议族在linux/socket.h中列出，但对于IPv4我们希望使用协议族PF_INET。hooknum这个成员用于指定安装的这个函数对应的具体的hook类型，其值为表1中列出的值之一。最后，priority这个成员用于指定在执行的顺序中，这个hook函数应当在被放在什么地方。对于IPv4，可用的值在linux/netfilter_ipv4.h的nf_ip_hook_priorities枚举中定义。出于示范的目的，在后面的模块中我们将使用NF_IP_PRI_FIRST。

　　注册一个Netfilter hook需要调用nf_register_hook()函数，以及用到一个nf_hook_ops数据结构。nf_register_hook()函数以一个nf_hook_ops数据结构的地址作为参数并且返回一个整型的值。但是，如果你真正的看了在net/core/netfilter.c中的nf_register_hook()函数的实现代码，你会发现该函数总是返回0。以下提供的是一个示例代码，该示例代码简单的注册了一个丢弃所有到达的数据包的函数。该代码同时展示了Netfilter的返回值如何被解析。

　　示例代码1 : Netfilter hook的注册
　　/*
　　* 安装一个丢弃所有到达的数据包的Netfilter hook函数的示例代码
　　*/

　　#define __KERNEL__
　　#define MODULE

　　#include <linux/module.h>
　　#include <linux/kernel.h>
　　#include <linux/netfilter.h>
　　#include <linux/netfilter_ipv4.h>

　　/* 用于注册我们的函数的数据结构 */
　　static struct nf_hook_ops nfho;

　　/* 注册的hook函数的实现 */
　　unsigned int hook_func(unsigned int hooknum,
　　                   struct sk_buff **skb,
　　                   const struct net_device *in,
　　                   const struct net_device *out,
　　                   int (*okfn)(struct sk_buff *))
　　{
　　return NF_DROP;           /* 丢弃所有的数据包 */
　　}

　　/* 初始化程序 */
　　int init_module()
　　{
　　/* 填充我们的hook数据结构 */
　　nfho.hook = hook_func;         /* 处理函数 */
　　nfho.hooknum  = NF_IP_PRE_ROUTING; /* 使用IPv4的第一个hook */
　　nfho.pf       = PF_INET;
　　nfho.priority = NF_IP_PRI_FIRST;   /* 让我们的函数首先执行 */

　　nf_register_hook(&nfho);

　　return 0;
　　}

　　/* 清除程序 */
　　void cleanup_module()
　　{
　　nf_unregister_hook(&nfho);
　　}

　　这就是全部内容，从示例代码1中，你可以看到，注销一个Netfilter hook是一件很简单事情，只需要调用nf_unregister_hook()函数，并且以你之前用于注册这个hook时用到的相同的数据结构的地址作为参数。

　　-- [4 - Netfilter 基本的数据报过滤技术
　　---- [4.1 - 深入hook函数

　　现在是到了看看什么数据被传递到hook函数中以及这些数据如何被用于做过滤选择的时候了。那么，让我们更深入的看看nf_hookfn函数的原型吧。这个函数原型在linux/netfilter.h中给出，如下：

　　      typedef unsigned int nf_hookfn(unsigned int hooknum,
　　                                     struct sk_buff **skb,
　　                                     const struct net_device *in,
　　                                     const struct net_device *out,
　　                                     int (*okfn)(struct sk_buff *));

　　nf_hookfn函数的第一个参数用于指定表1中给出的hook类型中的一个。第二个参数更加有趣，它是一个指向指针的指针，该指针指向的指针指向一个sk_buff数据结构，网络堆栈用sk_buff数据结构来描述数据包。这个数据结构在linux/skbuff.h中定义，由于它的内容太多，在这里我将仅列出其中有意义的部分。

　　sk_buff数据结构中最有用的部分可能就是那三个描述传输层包头（例如：UDP, TCP, ICMP, SPX）、网络层包头（例如：IPv4/6, IPX, RAW）以及链路层包头（例如：以太网或者RAW）的联合(union)了。这三个联合的名字分别是h、nh以及mac。这些联合包含了几个结构，依赖于具体的数据包中使用的协议。使用者应当注意：传输层包头和网络层包头可能是指向内存中的同一个位置。这是TCP数据包可能出现的情况，其中h和nh都应当被看作是指向IP头结构的指针。这意味着尝试通过h->th获取一个值，并认为该指针指向一个TCP头，将会得到错误的结果。因为h->th实际上是指向的IP头，与nh->iph得到的结果相同。

　　接下来让我们感兴趣的其它部分是len和data这两个域。len指定了从data开始的数据包中的数据的总长度。好了，现在我们知道如何在sk_buff数据结构中分别访问协议头和数据包中的数据了。Netfilter hook函数中有用的信息中其它的有趣的部分是什么呢？

　　紧跟在skb之后的两个参数是指向net_device数据结构的指针，net_device数据结构被Linux内核用于描述所有类型的网络接口。这两个参数中的第一个——in，用于描述数据包到达的接口，毫无疑问，参数out用于描述数据包离开的接口。必须明白，在通常情况下，这两个参数中将只有一个被提供。例如：参数in只用于NF_IP_PRE_ROUTING和NF_IP_LOCAL_IN hook，参数out只用于NF_IP_LOCAL_OUT和NF_IP_POST_ROUTING hook。在这一个阶段中，我还没有测试对于NF_IP_FORWARD hook，这两个参数中哪些是有效的，但是如果你能在使用之前先确定这些指针是非空的，那么你是非常优秀的！

　　最后，传递给hook函数的最后一个参数是一个命名为okfn函数指针，该函数以一个sk_buff数据结构作为它唯一的参数，并且返回一个整型的值。我不是很确定这个函数是干什么用的，在net/core/netfilter.c中查看，有两个地方调用了这个okfn函数。这两个地方是分别在函数nf_hook_slow()中以及函数nf_reinject()中，在其中的某个位置，当Netfilter hook的返回值为NF_ACCEPT时被调用。如果任何人有更多的关于okfn函数的信息，请务必告知。

　　** 译注：Linux核心网络堆栈中有一个全局变量 : struct list_head nf_hooks[NPROTO][NF_MAX_HOOKS]，该变量是一个二维数组，其中第一维用于指定协议族，第二维用于指定hook的类型（表1中定义的类型）。注册一个Netfilter hook实际就是在由协议族和hook类型确定的链表中添加一个新的节点。

　　以下代码摘自 net/core/netfilter，nf_register_hook()函数的实现：
　　int nf_register_hook(struct nf_hook_ops *reg)
　　{
　　struct list_head *i;

　　br_write_lock_bh(BR_NETPROTO_LOCK);
　　for (i = nf_hooks[reg->pf][reg->hooknum].next;
　　     i != &nf_hooks[reg->pf][reg->hooknum];
　　     i = i->next) {
　　    if (reg->priority < ((struct nf_hook_ops *)i)->priority)
　　        break;
　　}
　　list_add(&reg->list, i->prev);
　　br_write_unlock_bh(BR_NETPROTO_LOCK);
　　return 0;
　　}

　　Netfilter中定义了一个宏NF_HOOK，作者在前面提到的nf_hook_slow()函数实际上就是NF_HOOK宏定义替换的对象，在NF_HOOK中执行注册的hook函数。NF_HOOK在Linux核心网络堆栈的适当的地方以适当的参数调用。例如，在ip_rcv()函数(位于net/ipv4/ip_input.c)的最后部分，调用NF_HOOK函数，执行NF_IP_PRE_ROUTING类型的hook。ip_rcv()是Linux核心网络堆栈中用于接收IPv4数据包的主要函数。在NF_HOOK的参数中，页包含一个okfn函数指针，该函数是用于数据包被接收后完成后续的操作，例如在ip_rcv中调用的NF_HOOK中的okfn函数指针指向ip_rcv_finish()函数(位于net/ipv4/ip_input.c)，该函数用于IP数据包被接收后的诸如IP选项处理等后续处理。

　　如果在内核编译参数中取消CONFIG_NETFILTER宏定义，NF_HOOK宏定义直接被替换为okfn，内核代码中的相关部分如下(linux/netfilter.h)：

　　#ifdef CONFIG_NETFILTER
　　...
　　#ifdef CONFIG_NETFILTER_DEBUG
　　#define NF_HOOK nf_hook_slow
　　#else
　　#define NF_HOOK(pf, hook, skb, indev, outdev, okfn)            \
　　(list_empty(&nf_hooks[(pf)][(hook)])                    \
　　? (okfn)(skb)                                \
　　: nf_hook_slow((pf), (hook), (skb), (indev), (outdev), (okfn)))
　　#endif
　　...
　　#else /* !CONFIG_NETFILTER */
　　#define NF_HOOK(pf, hook, skb, indev, outdev, okfn) (okfn)(skb)
　　#endif /*CONFIG_NETFILTER*/

　　可见okfn函数是必不可少的，当Netfilter被启用时，它用于完成接收的数据包后的后续操作，如果不启用Netfilter做数据包过滤，则所有的数据包都被接受，直接调用该函数做后续操作。

　　** 译注完

　　现在，我们已经了解了我们的hook函数接收到的信息中最有趣和最有用的部分，是该看看我们如何以各种各样的方式来利用这些信息来过滤数据包的时候了！