Netfilter_实现机制分析

Netfilter 之连接跟踪实现机制初步分析

2009-1

唐文

tangwen1123@163.com

1. 前言 ..................................................................................................................................1

2. 整体框架 ..........................................................................................................................1

3. 重要数据结构...................................................................................................................2

4.1. ip_conntrack_defrag()...........................................................................................6

4.2. ip_conntrack_in()..................................................................................................7

4.3. ip_conntrack_help()............................................................................................12

4.4. ip_confirm()........................................................................................................13

4.5. ip_conntrack_local()...........................................................................................15

5. 数据包转发的连接跟踪流程.........................................................................................16

6. 总结 ................................................................................................................................17

1. 前言

Netfilter 中的连接跟踪模块作为地址转换等的基础，在对 Netfilter 的实现机制有所了解

钩子函数，下面图 2-1 描绘了连接跟踪在 Netfilter 架构中注册的钩子函数。

3. 重要数据结构

中，包含一个 nf_conntrack 类型的结构，其记录了连接记录被公开应用的计数，也方便其他

地方对连接跟踪的引用。每个连接记录都对应一个指向连接超时的函数指针，当较长时间内

未使用该连接，将调用该指针所指向的函数。如果针对某种协议的连接跟踪需要扩展模块的

辅助，则在连接记录中会有一指向 ip_conntrack_helper 结构体的指针。连接记录中的结构体